Fusion Middleware Oracle Business Intelligence Enterprise Editionセキュリティ・ガイド

11g リリース1(11.1.1)

B63030-03(原本部品番号:E10543-06)

目次

タイトルおよび著作権情報

はじめに

- 対象読者

- ドキュメントのアクセシビリティについて

- 関連ドキュメントとその他のリソース

- システム要件と動作要件

- 表記規則

Oracle Business Intelligenceのセキュリティの新機能

- Oracle BI EE 11g リリース1 (11.1.1.6)の新機能

- Oracle BI EE 11g リリース1(11.1.1.5)の新機能

- Oracle BI EE 11g リリース1(11.1.1.3)の新機能

1 Oracle Business Intelligenceのセキュリティの紹介

- 1.1 Oracle Business Intelligenceでセキュリティを設定するための上位レベルのロードマップ

- 1.2 Oracle Business Intelligenceのセキュリティの概要

- 1.3 認証について

- 1.4 認可について

- 1.4.1 アプリケーション・ロールについて

- 1.4.2 セキュリティ・ポリシーについて

- 1.5 事前構成済ユーザー、グループおよびアプリケーション・ロールについて

- 1.6 Oracle Business Intelligenceでセキュリティを構成するツールの使用

- 1.6.1 Oracle WebLogic Server管理コンソールの使用

- 1.6.2 Oracle Fusion Middleware Controlの使用

- 1.6.3 Oracle BI管理ツールの使用

- 1.6.4 プレゼンテーション・サービス管理の使用

- 1.7 Oracle Business Intelligenceのセキュリティを設定するための詳細な手順

- 1.8 Oracle Business Intelligenceの10gと11gのセキュリティ・モデルの比較

- 1.9 用語

2 デフォルト・セキュリティ構成を使用したセキュリティの管理

- 2.1 デフォルトのユーザー、グループおよびアプリケーション・ロールの使用

- 2.2 デフォルトのグループおよびアプリケーション・ロールを使用したセキュリティ設定の例

- 2.3 組込みWebLogic LDAPサーバーにおけるユーザーおよびグループの管理

- 2.3.1 ユーザー、グループおよびアプリケーション・ロールの設定

- 2.3.1.1 デフォルトのグループへのユーザーの割当て

- 2.3.1.2 新規グループおよび新規アプリケーション・ロールへのユーザーの割当て

- 2.3.2 組込みWebLogic LDAPサーバーにおける新規ユーザーの作成

- 2.3.3 組込みWebLogic LDAPサーバーにおけるグループの作成

- 2.3.4 組込みWebLogic LDAPサーバーにおけるグループへのユーザーの割当て

- 2.3.5 (オプション)組込みWebLogic LDAPサーバーにおけるユーザー・パスワードの変更

- 2.4 Fusion Middleware Controlの使用によるアプリケーション・ロールおよびアプリケーション・ポリシーの管理

- 2.4.1 Fusion Middleware Controlの使用によるアプリケーション・ポリシーおよびアプリケーション・ロールの表示

- 2.4.2 Fusion Middleware Controlの使用によるアプリケーション・ロールの作成

- 2.4.2.1 概要

- 2.4.2.2 アプリケーション・ロールの作成

- 2.4.2.3 アプリケーション・ロールへのグループの割当て

- 2.4.3 Fusion Middleware Controlの使用によるアプリケーション・ポリシーの作成

- 2.4.4 Fusion Middleware Controlを使用したアプリケーション・ロールの変更

- 2.4.4.1 アプリケーション・ロールの権限付与の追加または削除

- 2.4.4.2 アプリケーション・ロールのメンバーの追加または削除

- 2.5 Oracle BI管理ツールの使用によるメタデータ・リポジトリ権限の管理

- 2.5.1 概要

- 2.5.2 アプリケーション・ロールのリポジトリ権限の設定

- 2.5.3 高度なセキュリティ構成のトピック

- 2.5.3.1 メタデータ・リポジトリ内のアプリケーション・ロールの管理について

- 2.6 アプリケーション・ロールの使用によるPresentation Servicesの権限の管理

- 2.6.1 概要

- 2.6.2 Presentation Servicesの権限について

- 2.6.3 アプリケーション・ロールに対するPresentation Servicesの権限の設定

- 2.6.4 高度なセキュリティ構成のトピック

- 2.6.4.1 BIプレゼンテーション・サービスでの暗号化について

- 2.7 Oracle BI Publisherの使用によるデータ・ソース・アクセスの権限の管理

- 2.8 デフォルトの組込みOracle WebLogic Server LDAPアイデンティティ・ストアの高可用性の有効化

3 代替認証プロバイダの使用

- 3.1 概要

- 3.2 代替認証プロバイダを構成するための大まかな手順

- 3.3 代替認証プロバイダを使用するための前提条件

- 3.4 代替認証プロバイダの構成

- 3.4.1 認証プロバイダとしてのOracle Internet Directoryの構成

- 3.4.2 認証プロバイダとしてのActive Directoryの構成

- 3.4.3 認証プロバイダとしてのデータベースの構成

- 3.4.3.1 概要と前提条件

- 3.4.3.2 ユーザーおよびグループのサンプル・スキーマの作成

- 3.4.3.3 Oracle WebLogic Server管理コンソールの使用によるデータ・ソースとSQL認証プロバイダの構成

- 3.4.3.4 仮想アイデンティティ・ストアの構成

- 3.4.3.5 SQL認証プロバイダのトラブルシューティング

- 3.4.3.6 アダプタの削除および再作成によるデータベース・アダプタ・エラーの修正

- 3.4.4 認証プロバイダとしてのLDAPの構成とデータベースへのグループの格納

- 3.4.4.1 前提条件

- 3.4.4.2 グループおよびグループ・メンバーのサンプル・スキーマの作成

- 3.4.4.3 Oracle WebLogic Server管理コンソールの使用によるデータ・ソースおよびBISQLGroupProviderの構成

- 3.4.4.4 仮想アイデンティティ・ストアの構成

- 3.4.4.5 アプリケーション・ロールへのデータベース・グループの追加による構成のテスト

- 3.4.4.6 アダプタのエラーの修正

- 3.4.5 Fusion Middleware Controlの使用による複数の認証プロバイダの構成

- 3.4.6 JAAS制御フラグ・オプションの設定

- 3.4.7 認証プロバイダとしての単一のLDAP認証プロバイダの構成

- 3.4.7.1 唯一の認証プロバイダとしてのOracle Internet Directory LDAP認証の構成

- 3.4.7.2 トラブルシューティング

- 3.5 アイデンティティ・ストアでのユーザーおよびグループ名属性の構成

- 3.5.1 アイデンティティ・ストアでのユーザー名属性の構成

- 3.5.2 (Active Directory用オプション)グループ名属性の変更

- 3.6 アイデンティティ・ストアでのGUID属性の構成

- 3.7 新しい信頼できるユーザー(BISystemUser)の構成

- 3.8 ユーザーGUIDのリフレッシュ

- 3.9 ポリシー・ストアおよび資格証明ストアとしてのOracle Internet Directoryの構成

4 SSO認証の有効化

- 4.1 Oracle Business IntelligenceのSSOの構成タスク

- 4.2 SSO認証およびOracle Business Intelligenceについて

- 4.2.1 IDアサーション・プロバイダのしくみ

- 4.2.2 Oracle Business IntelligenceとSSO認証の連携のしくみ

- 4.3 SSO実装に関する考慮事項

- 4.4 Oracle Access Manager環境でのSSOの構成

- 4.4.1 Oracle WebLogic Serverの新しい認証プロバイダの構成

- 4.4.2 Oracle WebLogic Serverの新しいIDアサーション・プロバイダとしてのOracle Access Managerの構成

- 4.5 カスタムSSO環境の構成

- 4.6 Fusion Middleware Controlの使用によるSSO認証の有効化

- 4.7 オンライン・カタログ・マネージャの接続の有効化

5 Oracle Business IntelligenceでのSSL構成

- 5.1 Oracle Business Intelligenceの一般的なSSL構成タスク

- 5.2 SSLとは

- 5.2.1 Oracle Business IntelligenceでのSSLの使用

- 5.2.2 Oracle Business Intelligenceでの証明書と鍵の作成

- 5.2.3 資格証明ストア

- 5.3 コンポーネント間のSSL通信の構成

- 5.3.1 Fusion Middleware ControlおよびOracle WebLogic Server管理コンソールの使用によるコンポーネント間のSSL通信の構成

- 5.3.2 Fusion Middleware Controlの使用によるSMTPサーバーのSSLの構成

- 5.3.3 HTTPSプロトコルを使用するためのWebLogicの手動構成

- 5.3.4 MBeanブラウザの使用によるコンポーネント間のSSL通信の手動構成

- 5.3.4.1 構成のロック

- 5.3.4.2 SSL証明書の生成

- 5.3.4.3 SSL構成変更のコミット

- 5.3.4.4 資格証明ストアのSSL資格証明の検証

- 5.3.4.5 SSL構成の有効化

- 5.3.4.6 MBeanブラウザの使用によるSSLステータスの確認

- 5.3.4.7 期限切れのSSL証明書の更新

- 5.4 その他のSSL構成オプション

- 5.4.1 BIスケジューラのSSLが有効化されている場合のSASchInvokeの使用

- 5.4.2 Oracle BIジョブ・マネージャの構成

- 5.4.3 オンライン・カタログ・マネージャの接続の有効化

- 5.4.4 SSL経由で通信するためのOracle BI管理ツールの構成

- 5.4.5 リモート・クライアント・アクセス用のODBC DSNの構成

- 5.4.6 複数認証プロバイダ使用時のSSLの構成

- 5.5 高度なSSL構成オプション

A 代替セキュリティ管理オプション

- A.1 代替認証オプション

- A.1.1 初期化ブロックの使用によるLDAP認証の設定

- A.1.1.1 LDAPサーバーの設定

- A.1.1.2 LDAP認証でのUSERセッション変数の定義

- A.1.1.3 ロギング・レベルの設定

- A.1.2 外部表認証の設定

- A.1.3 Oracle BIデリバーおよび外部初期化ブロックの認証について

- A.1.4 認証の順序

- A.1.5 カスタム認証システム・プラグインを使用する認証

- A.1.6 セッション変数の管理

- A.1.7 サーバー・セッションの管理

- A.1.7.1 セッション・マネージャの使用

- A.2 代替認可オプション

- A.2.1 プレゼンテーション・サービスのセキュリティに影響する変更

- A.2.2 カタログ・グループを使用するカタログ権限の管理

- A.2.3 初期化ブロックの使用による認可の設定

B デフォルト・セキュリティ構成の理解

- B.1 Oracle Business Intelligenceのセキュリティについて

- B.2 セキュリティ・フレームワークについて

- B.2.1 Oracle Platform Security Services

- B.2.2 Oracle WebLogic Serverドメイン

- B.3 主なセキュリティ要素

- B.4 デフォルト・セキュリティ構成

- B.4.1 デフォルトのポリシー・ストア・プロバイダ

- B.4.1.1 デフォルトの権限

- B.4.1.2 デフォルトのアプリケーション・ロール

- B.4.1.3 デフォルトのアプリケーション・ロール、権限付与、およびグループ・マッピング

- B.4.2 デフォルトの認証プロバイダ

- B.4.2.1 デフォルトのグループとメンバー

- B.4.2.2 デフォルトのユーザーとパスワード

- B.4.3 デフォルトの資格証明ストア・プロバイダ

- B.4.3.1 デフォルトの資格証明

- B.4.4 アプリケーション・ロールを使用してユーザー権限を付与する方法

- B.4.4.1 権限の継承とロールの階層

- B.4.4.2 カタログ・グループと優先順位

- B.5 インストール後の共通セキュリティ・タスク

- B.5.1 Oracle Business Intelligenceを評価する共通のセキュリティ・タスク

- B.5.2 Oracle Business Intelligenceを実装するための共通のセキュリティ・タスク

- B.6 アップグレード後のデフォルトのセキュリティ構成について

- B.6.1 アップグレード後のセキュリティ関連の変更

- B.6.1.1 アイデンティティ・ストアに影響する変更

- B.6.1.2 ポリシー・ストアに影響する変更

- B.6.1.3 デフォルトのリポジトリ・ファイルに影響する変更

- B.6.1.4 Oracle BIプレゼンテーション・カタログに影響する変更

- B.6.2 10gリポジトリをアップグレードする計画

- B.6.3 既存のSSL環境のアップグレード

- B.6.4 既存のSSO環境のアップグレード

C Oracle Business Intelligenceにおけるセキュリティのトラブルシューティング

- C.1 ユーザーのログイン認証が失敗する問題の解決

- C.1.1 認証の概念

- C.1.1.1 インストール時のデフォルトの認証

- C.1.1.2 Oracle WebLogic Server管理コンソールおよびFusion Middleware Controlの使用によるOracle Business Intelligenceの構成

- C.1.1.3 WebLogicドメインおよびログの場所

- C.1.1.4 Oracle Business Intelligenceの主要なログイン・ユーザー・アカウント

- C.1.1.5 Oracle Business Intelligenceのログインの概要

- C.1.2 Oracle BI Security Diagnostics Helperの使用によるセキュリティに関する問題の自動特定

- C.1.2.1 Oracle BI Security Diagnostics Helperとは

- C.1.2.2 スクリプトの使用によるOracle BI Security Diagnostics Helperの設定(初回使用時のみ)

- C.1.2.3 Oracle BI Security Diagnostics Helperのデプロイ

- C.1.2.4 Oracle BI Security Diagnostics Helperの実行

- C.1.2.5 Oracle BI Diagnostics Helperの使用

- C.1.2.6 WebLogic Serverの再起動

- C.1.3 ユーザーのログイン認証が失敗する原因の特定

- C.1.4 ユーザーのログイン認証が失敗する問題の解決

- C.1.4.1 Oracle Business Intelligenceに1人のユーザーがログインできない

- C.1.4.2 認証プロバイダが正しく構成されていないことが原因でOracle Business Intelligenceにユーザーがログインできない

- C.1.4.3 Oracle Web Services Managerが動作していないときにOracle Business Intelligenceにユーザーがログインできない

- C.1.4.4 Oracle Business Intelligenceにユーザーがログインできない: BIシステム・ユーザーの認証が動作しているかどうか

- C.1.4.5 Oracle Business Intelligenceにユーザーがログインできない: 外部アイデンティティ・ストアが正しく構成されているかどうか

- C.1.4.6 ユーザーが任意のパスワードまたはパスワードなしでログインできる

- C.1.4.7 デフォルト認証プロバイダを削除した後にWebLogic Serverを起動できない

- C.2 アイデンティティ・ストアとの非一貫性の解決

- C.2.1 アイデンティティ・ストアからユーザーが削除される

- C.2.2 アイデンティティ・ストアでユーザーの名前が変更される

- C.2.3 アイデンティティ・ストアでユーザー名が再利用される

- C.3 ポリシー・ストアとの非一貫性の解決

- C.3.1 ポリシー・ストアからアプリケーション・ロールが削除される

- C.3.2 ポリシー・ストアでアプリケーション・ロールの名前が変更される

- C.3.3 ポリシー・ストアでアプリケーション・ロールの名前が再利用される

- C.3.4 オフライン・モードでリポジトリにアプリケーション・ロールの参照が追加される

- C.4 SSL通信問題の解決

- C.5 BIシステム・ユーザーの資格証明に関する問題の解決

- C.6 カスタムSSO環境の問題の解決

- C.7 SSOを使用したRSSフィードの認証の解決

D ダッシュボードと分析のセキュリティの管理

- D.1 Oracle BIプレゼンテーション・サービスのユーザーのセキュリティ管理

- D.1.1 Oracle BIプレゼンテーション・サービスのセキュリティを設定する場所

- D.1.2 Oracle BIプレゼンテーション・サービスのセキュリティの目標

- D.1.3 ユーザーへの権限の割当て方法

- D.2 Oracle BIプレゼンテーション・サービスの管理ページの使用

- D.2.1 管理ページについて

- D.2.2 カタログ・グループの使用

- D.2.2.1 カタログ・グループの作成

- D.2.2.2 カタログ・グループの削除

- D.2.2.3 カタログ・グループの編集

- D.2.3 プレゼンテーション・サービスの権限の管理

- D.2.3.1 プレゼンテーション・サービスの権限について

- D.2.3.2 アプリケーション・ロールに対するプレゼンテーション・サービスの権限の設定

- D.2.3.3 プレゼンテーション・サービスのデフォルトの権限割当て

- D.2.4 プレゼンテーション・サービスでのセッションの管理

- D.3 Oracle BIプレゼンテーション・サービスの権限の継承

- D.3.1 権限の継承のルール

- D.3.2 アプリケーション・ロールで継承される権限の例

- D.3.3 カタログ・グループで継承される権限の例

- D.4 ユーザーへの共有ダッシュボードの提供

- D.4.1 共有ダッシュボードのカタログ構造について

- D.4.2 共有ダッシュボードの作成

- D.4.3 ダッシュボードのテスト

- D.4.4 ユーザー・コミュニティへのダッシュボードのリリース

- D.5 ダッシュボードに保存されたカスタマイズ・オプションへのアクセス権の制御

- D.5.1 ダッシュボードの保存済カスタマイズの概要

- D.5.2 保存済カスタマイズの管理

- D.5.2.1 保存済カスタマイズの権限

- D.5.2.2 保存済カスタマイズのパーミッション

- D.5.3 保存済カスタマイズを作成するための権限の設定

- D.5.4 保存済カスタマイズを管理するための使用シナリオ例

- D.6 他のユーザーの代理実行の有効化

- D.6.1 他のユーザーの代理実行を有効化する理由

- D.6.2 プロキシ・レベル

- D.6.3 他のユーザーの代理実行を有効化するプロセス

- D.6.3.1 プロキシ・ユーザーとターゲット・ユーザーの関連付けの定義

- D.6.3.2 プロキシ機能のセッション変数の作成

- D.6.3.3 プロキシ機能の構成ファイルの設定の変更

- D.6.3.4 プロキシ機能のカスタム・メッセージ・テンプレートの作成

- D.6.3.5 プロキシ権限の割当て

- D.6.3.6 manageRepositories権限の割当て

索引

Oracle® Fusion Middleware

Oracle Business Intelligence Enterprise Editionセキュリティ・ガイド

11g リリース1(11.1.1)

B63030-03(原本部品番号:E10543-06)

2012年4月

Oracle Business Intelligence Enterprise Editionのセキュリティを構成する方法について説明します。これには、SSO、SSL、外部認証およびプレゼンテーション・サービスの権限の設定が含まれます。

Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionセキュリティ・ガイド, 11g リリース1(11.1.1)

B63030-03

Copyright © 2010, 2012, Oracle and/or its affiliates.All rights reserved.

原本著者: Nick Fry

原本協力者: Trish Fuzesy、Oracle Business Intelligenceの開発、製品管理および品質保証チーム

このソフトウェアおよび関連ドキュメントの使用と開示は、ライセンス契約の制約条件に従うものとし、知的財産に関する法律により保護されています。ライセンス契約で明示的に許諾されている場合もしくは法律によって認められている場合を除き、形式、手段に関係なく、いかなる部分も使用、複写、複製、翻訳、放送、修正、ライセンス供与、送信、配布、発表、実行、公開または表示することはできません。このソフトウェアのリバース・エンジニアリング、逆アセンブル、逆コンパイルは互換性のために法律によって規定されている場合を除き、禁止されています。

ここに記載された情報は予告なしに変更される場合があります。また、誤りが無いことの保証はいたしかねます。誤りを見つけた場合は、オラクル社までご連絡ください。

このソフトウェアまたは関連ドキュメントが、米国政府機関もしくは米国政府機関に代わってこのソフトウェアまたは関連ドキュメントをライセンスされた者に提供される場合は、次のNoticeが適用されます。

U.S. GOVERNMENT RIGHTS Programs, software, databases, and related documentation and technical data delivered to U.S. Government customers are "commercial computer software" or "commercial technical data" pursuant to the applicable Federal Acquisition Regulation and agency-specific supplemental regulations.As such, the use, duplication, disclosure, modification, and adaptation shall be subject to the restrictions and license terms set forth in the applicable Government contract, and, to the extent applicable by the terms of the Government contract, the additional rights set forth in FAR 52.227-19, Commercial Computer Software License (December 2007).Oracle America, Inc., 500 Oracle Parkway, Redwood City, CA 94065.

このソフトウェアまたはハードウェアは様々な情報管理アプリケーションでの一般的な使用のために開発されたものです。このソフトウェアまたはハードウェアは、危険が伴うアプリケーション(人的傷害を発生させる可能性があるアプリケーションを含む)への用途を目的として開発されていません。このソフトウェアまたはハードウェアを危険が伴うアプリケーションで使用する際、このソフトウェアまたはハードウェアを安全に使用するために、適切な安全装置、バックアップ、冗長性(redundancy)、その他の対策を講じることは使用者の責任となります。このソフトウェアまたはハードウェアを危険が伴うアプリケーションで使用したことに起因して損害が発生しても、オラクル社およびその関連会社は一切の責任を負いかねます。

OracleおよびJavaはOracle およびその関連企業の登録商標です。その他の名称は、他社の商標の可能性があります。

Intel、Intel Xeonは、Intel Corporationの商標または登録商標です。すべてのSPARCの商標はライセンスをもとに使用し、SPARC International, Inc.の商標または登録商標です。AMD、Opteron、AMDロゴ、AMD Opteronロゴは、Advanced Micro Devices, Inc.の商標または登録商標です。UNIXはThe Open Groupの登録商標です。

このソフトウェアまたはハードウェアおよびドキュメントは、第三者のコンテンツ、製品、サービスへのアクセス、あるいはそれらに関する情報を提供することがあります。オラクル社およびその関連会社は、第三者のコンテンツ、製品、サービスに関して一切の責任を負わず、いかなる保証もいたしません。オラクル社およびその関連会社は、第三者のコンテンツ、製品、サービスへのアクセスまたは使用によって損失、費用、あるいは損害が発生しても、一切の責任を負いかねます。

はじめに

Oracle Business Intelligence Foundation Suiteは、総合的でオープンな統合型ソリューションで、報告、非定型の問合せ、OLAP、ダッシュボード、スコアカード、What-If分析など、エンタープライズ・ビジネス・インテリジェンスのニーズすべてに対応しています。Oracle Business Intelligence Foundation Suiteには、Oracle Business Intelligence Enterprise Editionが含まれています。

Oracle Business Intelligence Enterprise Edition (Oracle BI EE)はエンタープライズ・ビジネス・インテリジェンスのツールおよびインフラストラクチャから構成される総合的なセットであり、スケーラブルで効率的な問合せおよび分析サーバー、非定型の問合せおよび分析ツール、対話形式のダッシュボード、プロアクティブ・インテリジェンスおよびアラート、エンタープライズ・レポート・エンジンなどが用意されています。

Oracle BI EEのコンポーネントは、共通のサービス指向アーキテクチャ、データ・アクセス・サービス、分析および計算インフラストラクチャ、メタデータ管理サービス、セマンティック・ビジネス・モデル、セキュリティ・モデルやユーザー・プリファレンス、および管理ツールを共有します。Oracle BI EEでは、データソース固有の最適化されたリクエスト生成、最適化されたデータ・アクセス、高度な計算、インテリジェントなキャッシュ・サービスおよびクラスタリングの面で、高いスケーラビリティとパフォーマンスが実現します。

このガイドには、システム管理に関する情報や、セキュリティ環境の有効化および管理に関する情報などが記載されています。

対象読者

このガイドは、Oracle Business Intelligenceのセキュリティ管理を担当するシステム管理者を対象としています。

ドキュメントのアクセシビリティについて

オラクル社のアクセシビリティへの取組みの詳細は、Oracle Accessibility ProgramのWebサイトhttp://www.oracle.com/pls/topic/lookup?ctx=acc&id=docaccを参照してください。

Oracleサポートへのアクセス

Oracleのお客様は、My Oracle Supportから電子サポートにアクセスできます。詳細は、http://www.oracle.com/pls/topic/lookup?ctx=acc&id=infoまたはhttp://www.oracle.com/pls/topic/lookup?ctx=acc&id=trs (聴覚障害者向け)を参照してください。

関連ドキュメントとその他のリソース

Oracle Business Intelligenceの関連ドキュメントについては、Oracle Business Intelligenceのドキュメント・ライブラリを参照してください。

次の関連ドキュメントも参照してください。

- Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド

Oracle Learning Libraryでは、Oracle Business Intelligenceに関連したオンラインのトレーニング・リソースも提供されています。

システム要件と動作要件

ハードウェアとソフトウェアの要件、プラットフォーム、データベースおよびその他の情報の詳細は、システム要件と動作要件のドキュメントを参照してください。いずれのドキュメントもOracle Technology Network (OTN)から入手できます。

システム要件のドキュメントには、ハードウェアとソフトウェアの要件、ディスク領域とメモリーの最小要件、必要なシステム・ライブラリ、パッケージまたはパッチなどの情報が記載されています。

http://www.oracle.com/technology/software/products/ias/files/fusion_requirements.htm

動作要件のドキュメントには、サポートされているインストール・タイプ、プラットフォーム、オペレーティング・システム、データベース、JDKおよびサードパーティ製品が記載されています。

http://www.oracle.com/technology/software/products/ias/files/fusion_certification.html

表記規則

このドキュメントでは次の表記規則を使用します。

規則

意味

太字

太字は、操作に関連するGraphical User Interface要素、または本文中で定義されている用語および用語集に記載されている用語を示します。

イタリック体

イタリックは、ユーザーが特定の値を指定するプレースホルダ変数を示します。

固定幅フォント

固定幅フォントは、段落内のコマンド、URL、サンプル内のコード、画面に表示されるテキスト、または入力するテキストを示します。

Oracle Business Intelligenceのセキュリティの新機能

この序章では、Oracle Business Intelligence Enterprise Edition 11g リリース1 (11.1.1)の保護機能における変更点について説明します。

以前のリリースからOracle BI EEにアップグレードする場合は、機能、ツールおよび手順が大幅に異なる場合があるので、次の情報をよくお読みください。Oracle BI EE 11gへのアップグレードの詳細は、Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionアップグレード・ガイドを参照してください。

この序章には、次のトピックが含まれています。

- Oracle BI EE 11g リリース1 (11.1.1.6)の新機能

- Oracle BI EE 11g リリース1(11.1.1.5)の新機能

- Oracle BI EE 11g リリース1(11.1.1.3)の新機能

Oracle BI EE 11g リリース1 (11.1.1.6)の新機能

この項では、Oracle BI EE 11g リリース 1 (11.1.1.6)の新機能を説明します。内容は次のとおりです。

- 11.1.1.6.2の新機能

- 11.1.1.6.0の新機能

11.1.1.6.2の新機能

Oracle BI EE 11gリリース1 (11.1.1.6.2)のセキュリティの新機能は、次のとおりです。

- Oracle BI Security Diagnostics Helper

Oracle BI Security Diagnostics Helper

新しいOracle BI Security Diagnostics Helperアプリケーションが追加されました。このアプリケーションは、ユーザーがOracle BIシステムにログインできない原因になる可能性がある、構成に関する問題の診断を支援することを目的としています。

詳細は、第C.1.2項「Oracle BI Security Diagnostics Helperの使用によるセキュリティに関する問題の自動特定」を参照してください。

11.1.1.6.0の新機能

Oracle BI EE 11gリリース1 (11.1.1.6.0)のセキュリティの新機能は、次のとおりです。

- 新しい権限

新しい権限

いくつかの新しい権限がOracle BI EEの「管理」ページに追加されました。

- 「新規カテゴリ」および「ホームおよびヘッダー」の権限: これらの権限により、カタログを検索できるユーザー、Oracle BI EEグローバル・ヘッダーに表示される機能、ホーム・ページやカタログ・ページにアクセスできるユーザー、およびホーム・ページの「はじめに」エリアとグローバル・ヘッダーにカスタム・リンクを表示できるユーザーが決まります。

- BIコンポーザへのアクセス: この権限により、BIコンポーザの基本機能へのアクセスが許可されます。

これらの権限の詳細は、第D.2.3項「プレゼンテーション・サービスの権限の管理」を参照してください。

Oracle BI EE 11g リリース 1 (11.1.1.5)の新機能

Oracle BI EE 11g リリース1(11.1.1.5)には、セキュリティの新機能はありません。

Oracle BI EE 11g リリース1(11.1.1.3)の新機能

Oracle BI EE 11g リリース1(11.1.1.3)のセキュリティの新機能は、次のとおりです。

- Fusion Middlewareのセキュリティ・モデルとの統合

- LDAPサーバーへの直接アクセス

- SSLの構成の簡略化

- 管理者権限の管理モデルの向上

- リポジトリの保護と暗号化

Fusion Middlewareのセキュリティ・モデルとの統合

Oracle Business Intelligenceのコンポーネントはすべて、Oracle Fusion Middlewareのセキュリティ・アーキテクチャと完全に統合されています。Oracle Business Intelligenceでは、アイデンティティ・ストアに格納されているユーザー情報に対して、Oracle WebLogic Serverの認証プロバイダを使用してユーザーを認証します。ユーザーおよびグループの情報はOracle BIリポジトリ内には格納されなくなり、アップグレード処理によって、リポジトリのユーザーおよびグループが移行され、デフォルトのアイデンティティ・ストアであるOracle WebLogic Server組込みディレクトリ・サーバー内のユーザーおよびグループになります。Oracle Business Intelligenceは、ポリシー・ストアに格納されているアプリケーション・ロールに関するセキュリティ・ポリシーを定義し、資格証明ストアに資格証明を格納します。詳細は、第1章「Oracle Business Intelligenceのセキュリティの紹介」を参照してください。

LDAPサーバーへの直接アクセス

Oracle BIデリバーでは、構成済アイデンティティ・ストアからユーザー、ユーザーのグループおよび電子メール・アドレスに関する情報に直接アクセスするようになりました。多くの場合、これによって、すべてのDelivers機能を有効にするために企業ディレクトリからデータベースにこの情報を抽出して、SAサブジェクト・システム・エリアを構成する必要がなくなりした。下位互換性のため、SAシステム・サブジェクト・エリアは引き続きサポートされます。詳細は、第2章「デフォルト・セキュリティ構成を使用したセキュリティの管理」を参照してください。

SSLの構成の簡略化

中間層のプロセス間の通信にSSLを使用するようにOracle Business Intelligenceを構成する方法が大幅に簡略化されました。さらに、Oracle Business Intelligenceのプロセス間の信頼の確立には、管理者のIDではなく、信頼できるシステムのIDが使用されます。これにより管理ユーザーは、中間層の通信に影響を与えることなく自分のパスワードを変更することができます。詳細は、第5章「Oracle Business IntelligenceでのSSL構成」および第2章「 デフォルト・セキュリティ構成を使用したセキュリティの管理」を参照してください。

管理者権限の管理モデルの向上

11gでは、必要に応じて、指定したユーザーに管理者権限を付与することができます。これは、管理者権限を持ち、「管理者」と呼ばれるユーザーが1人だけである10gと対照的です。詳細は、付録B「デフォルト・セキュリティ構成の理解」を参照してください。

リポジトリの保護と暗号化

Oracle BIリポジトリはパスワードで保護されており、この同じパスワードがリポジトリのコンテンツの暗号化にも使用されています。詳細は、付録B.6.2「10gリポジトリをアップグレードする計画」を参照してください。

1 Oracle Business Intelligenceのセキュリティの紹介

この章では、Oracle Business Intelligenceのセキュリティ・モデルを紹介して、セキュリティの構成に使用されるツールについて説明し、Oracle Business Intelligenceでセキュリティを構成するための詳細なロードマップを示します。

注意:

セキュリティの設定に関する上位レベルのロードマップについては、第1.1項「Oracle Business Intelligenceでセキュリティを設定するための上位レベルのロードマップ」を参照してください。

この章には次の項が含まれます:

- 第1.1項「 Oracle Business Intelligenceでセキュリティを設定するための上位レベルのロードマップ」

- 第1.2項「Oracle Business Intelligenceのセキュリティの概要」

- 第1.3項「認証について」

- 第1.4項「認可について」

- 第1.5項「事前構成済ユーザー、グループおよびアプリケーション・ロールについて」

- 第1.6項「Oracle Business Intelligenceでセキュリティを構成するツールの使用」

- 第1.7項「Oracle Business Intelligenceのセキュリティを設定するための詳細な手順」

- 第1.8項「Oracle Business Intelligenceの10gと11gのセキュリティ・モデルの比較」

- 第1.9項「用語」

1.1 Oracle Business Intelligenceでセキュリティを設定するための上位レベルのロードマップ

Oracle Business Intelligenceでセキュリティを設定するには、次を実行する必要があります。

1. この章の残りの部分に目を通して、セキュリティのコンセプト、ツールおよび用語の概要を把握します。

2. 第2.1項「デフォルトのユーザー、グループおよびアプリケーション・ロールの使用」の概要を読んで、ユーザー、グループおよびアプリケーション・ロールのデフォルト設定について学びます。

3. ユーザーの認証に使用する認証プロバイダを決定します。

4. 必要なユーザーおよびグループを設定します。

5. 必要なアプリケーション・ロールを設定します。

6. 各グループを適切なアプリケーション・ロールに割り当てます。

7. Oracle BIリポジトリでユーザーおよびグループが持っている権限を調整します。

8. Oracle BIプレゼンテーション・カタログでユーザーおよびグループが持っている権限を調整します。

9. 必要に応じてシングル・サインオン(SSO)を構成します。

10. 必要に応じてSecure Sockets Layer (SSL)を構成します。

設定手順詳細は、第1.7項「Oracle Business Intelligenceのセキュリティを設定するための詳細な手順」を参照してください。

1.2 Oracle Business Intelligenceのセキュリティの概要

Oracle Business Intelligence 11gは、Oracle Fusion Middleware Securityアーキテクチャと密接に統合されており、コアなセキュリティ機能をそのアーキテクチャのコンポーネントに委任します。具体的には、Oracle Business Intelligenceインストールは次の種類のセキュリティ・プロバイダを利用します。

- Oracle Business Intelligence にアクセス可能なユーザーおよびグループに関する情報へのアクセス方法を知っていて、ユーザーの認証を行う認証プロバイダ。

- アプリケーション・ロールおよびアプリケーション・ポリシーへのアクセスを提供するポリシー・ストア・プロバイダ。これは、セキュリティ・ポリシーのコアな部分を形成し、Oracle Business Intelligenceで表示と操作ができるユーザーとできないユーザーを決定します。

- Oracle Business Intelligenceで必要な資格証明を格納し、その資格証明へのアクセスを提供する資格証明ストア・プロバイダ。

デフォルトでは、Oracle Business Intelligenceインストールは、ユーザーおよびグループの情報にOracle WebLogic Server組込みLDAPサーバーを使用する認証プロバイダとともに構成されます。Oracle Business Intelligenceのデフォルトのポリシー・ストア・プロバイダおよび資格証明ストア・プロバイダは、資格証明、アプリケーション・ロールおよびアプリケーション・ポリシーを、ドメインのファイルに格納します。

Oracle Business Intelligenceのインストール後、必要に応じて、別のセキュリティ・プロバイダを使用するようにドメインを再構成することができます。たとえば、Oracle Internet Directory、Oracle Virtual Directory、Microsoft Active Directoryまたは別のLDAPサーバーを認証に使用するようにインストールを再構成できます。また、資格証明、アプリケーション・ロールおよびアプリケーション・ポリシーの格納に、ファイルではなくOracle Internet Directoryを使用するようにインストールを再構成することもできます。

下位互換性のため、Oracle Business Intelligenceの複数のレガシー認証オプションが引き続きサポートされます。ベスト・プラクティスは、この章で説明するデフォルトのセキュリティ・モデルにより、アイデンティティ・ストアおよび認証プロバイダを使用して認証および認可を行うことです。ただし、これが可能でないシナリオや、従来の認証方法および認可方法が必要になる場合もあります。通常、こうした別の方法を使用するには、Oracle WebLogicドメインで構成済の認証プロバイダによって参照されるアイデンティティ・ストアに、ユーザー移入およびグループが保持されていないことが必要です。したがって、別の認証方法を使用する場合は、この章のいくつかの項は関係がありません。かわりに、付録A「代替セキュリティ管理オプション」を参照してください。この章で説明するアプリケーション・ロールは、別の認証メカニズムおよび認可メカニズムでも使用されることに注意してください。また、Oracle WebLogicドメインで構成される認証プロバイダは、他のユーザーに対して別の方法を使用している場合であっても、常にBIシステム・ユーザーによって使用されることにも注意してください。

1.3 認証について

Oracle Business Intelligence 11gの各インストールには、Oracle WebLogic Serverドメインが関連付けられています。Oracle Business Intelligenceは、そのドメインに対して構成された最初の認証プロバイダにユーザーの認証を委任します。

デフォルトの認証プロバイダは、Oracle Business IntelligenceのOracle WebLogic Serverドメインに組込みのLDAPサーバーに格納されているユーザーおよびグループ情報にアクセスします。Oracle WebLogic Serverの管理コンソールを使用すると、組込みLDAPサーバーでユーザーおよびグループの作成と管理ができます。

別のディレクトリの認証プロバイダを構成することもできます。Oracle WebLogic Serverの管理コンソールを使用すると、ディレクトリのユーザーおよびグループを表示できます。ただし、このディレクトリを変更するには、引き続き適切なツールを使用する必要があります。たとえば、Oracle Internet Directory (OID)を使用するようにOracle Business Intelligenceを再構成した場合は、ユーザーおよびグループの表示はOracle WebLogic Serverの管理コンソールでできますが、管理はOIDコンソールで行う必要があります。Oracle Internet Directory (OID)はLDAPディレクトリ・サービスであり、認証に優先されるアイデンティティ・ストアです。

組込みLDAPサーバーのユーザーおよびグループの管理方法の詳細は、第2章「デフォルト・セキュリティ構成を使用したセキュリティの管理」を参照してください。

Oracle WebLogic Serverドメインおよび認証プロバイダの詳細は、『Oracle Fusion Middleware Oracle WebLogic Serverの保護』を参照してください。

このリリースで提供されるデフォルトの認証のかわりに、外部表による認証方式を引き続き使用することもできます。詳細は、付録Aの「外部表認証の設定」を参照してください。

1.4 認可について

ユーザーが認証された後、セキュリティの面で次に重要なのは、操作権限や表示権限が与えられているものを、ユーザーが操作し表示できるようにすることです。Oracle Business Intelligenceリリース11gでの認可は、アプリケーション・ロールで定義されたセキュリティ・ポリシーによって制御されます。

1.4.1 アプリケーション・ロールについて

ディレクトリ・サーバーにおけるグループ内のユーザーに関するセキュリティ・ポリシーを定義するかわりに、Oracle Business Intelligenceはロールベースのアクセス制御モデルを使用します。セキュリティは、ディレクトリ・サーバー・グループおよびユーザーに割り当てられているアプリケーション・ロールによって定義されます。たとえば、デフォルトのアプリケーション・ロールは、BIAdministrator、BIConsumerおよびBIAuthorです。

アプリケーション・ロールはユーザーが持っている機能的役割を表し、これによって、その役割を果たすために必要な権限をユーザーに付与します。たとえば、セールス・アナリストのアプリケーション・ロールを保持することにより、会社のセールス・パイプラインに関するレポートを表示、編集および作成するためのユーザー・アクセスが許可されます。

アプリケーション・ロールとディレクトリ・サーバーのユーザーおよびグループとの間の間接層により、Oracle Business Intelligenceの管理者は、企業のLDAPサーバーに新しいユーザーやグループを作成することなく、アプリケーション・ロールおよびポリシーを定義できます。かわりに、管理者は、認可要件を満たすアプリケーション・ロールを定義し、企業のLDAPサーバーに前から存在しているユーザーやグループにこれらのロールを割り当てます。

さらに、アプリケーション・ロールによって提供される間接層により、ビジネス・インテリジェンス・システムのアーティファクトを、開発、テスト、本番の各環境間で簡単に移動できます。セキュリティ・ポリシーの変更は不要で、必要な操作は、ターゲット環境で利用可能なユーザーおよびグループにアプリケーション・ロールを割り当てることのみです。

図1-1は、ユーザー、グループおよびアプリケーション・ロールのデフォルトの組合せを使用した例を示しています。

図1-1 ユーザー、グループ、アプリケーション・ロールおよび権限の例

図1-1は次のようなことを示しています。

- BIConsumersという名前のグループには、User1、User2およびUser3が含まれています。グループBIConsumersのユーザーには、アプリケーション・ロールBIConsumerが割り当てられています。これによりユーザーはレポートを表示できます。

- BIAuthorsという名前のグループには、User4およびUser5が含まれています。グループBIAuthorsのユーザーには、アプリケーション・ロールBIAuthorが割り当てられています。これによりユーザーはレポートを作成できます。

- BIAdministratorsという名前のグループには、User6およびUser7が含まれています。グループBIAdministratorsのユーザーには、アプリケーション・ロールBIAdministratorが割り当てられています。これによりユーザーは職責を管理できます。

1.4.2 セキュリティ・ポリシーについて

セキュリティ・ポリシー定義は次のコンポーネントに分割されています。

- Oracle BIプレゼンテーション・サービス: これは、特定のアプリケーション・ロールが付与されたユーザーが、どのカタログ・オブジェクトおよびOracle BIプレゼンテーション・サービス機能にアクセスできるかを定義します。機能へのアクセスは、権限の管理ページで、Oracle BI Presentation Servicesの権限という形態で定義され、Oracle BI Presentation Catalogのオブジェクトへのアクセスは「権限」ダイアログで定義されます。

- リポジトリ: これは、どのアプリケーション・ロールおよびユーザーが、リポジトリ内のどのメタデータ・アイテムにアクセスできるかを定義します。このセキュリティ・ポリシーを定義するには、Oracle BI管理ツールを使用します。

- ポリシー・ストア: これは、所定のユーザーまたは所定のアプリケーション・ロールが付与されたユーザーが、BIサーバー、Oracle BI PublisherおよびOracle Real-Time Decisionsのいずれの機能にアクセスできるかを定義します。Oracle Business Intelligenceのデフォルト構成では、ポリシー・ストアはOracle Enterprise Manager Fusion Middleware Controlを使用して管理されます。ポリシー・ストアの詳細は、『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』を参照してください。

これらのコンポーネントの使用方法は、第1.6項「Oracle Business Intelligenceでセキュリティを構成するツールの使用」を参照してください。

1.5 事前構成済ユーザー、グループおよびアプリケーション・ロールについて

Oracle Business Intelligenceのインストール時には、Oracle Business Intelligenceのデプロイに使用できる、事前構成済のユーザー、グループおよびアプリケーション・ロールが数多くあります。詳細は、第2.1項「デフォルトのユーザー、グループおよびアプリケーション・ロールの使用」を参照してください。

1.6 Oracle Business Intelligenceでセキュリティを構成するツールの使用

Oracle Business Intelligenceでセキュリティを構成するには、次のツールを使用します。

- 「Oracle WebLogic Server管理コンソールの使用」

- 「Oracle Fusion Middleware Controlの使用」

- 「Oracle BI管理ツールの使用」

- 「プレゼンテーション・サービス管理の使用」

注意:

Oracle Business Intelligenceツールを使用してインストール済ユーザー、グループおよびアプリケーション・ロールを構成する例を調べるには、第2.2項「デフォルトのグループおよびアプリケーション・ロールを使用したセキュリティ設定の例」を参照してください。

図1-2は、デフォルト・インストールのOracle Business Intelligenceで組込みWebLogic LDAPサーバーを使用してセキュリティを構成するために使用するツールを示しています。

図1-2 デフォルト・インストールのセキュリティを構成するためのツールの概要

デフォルト・セキュリティの管理を使用する方法の詳細は、第2章「デフォルト・セキュリティ構成を使用したセキュリティの管理」を参照してください。

1.6.1 Oracle WebLogic Server管理コンソールの使用

ユーザーおよびグループの認証に使用されるデフォルトのWebLogic LDAPサーバーの管理には、Oracle WebLogic Server管理コンソールを使用します。

Oracle WebLogic Serverは自動的にインストールされ、デフォルト管理サーバーとして機能します。Oracle WebLogic Server管理コンソールはブラウザベースであり、デフォルト認証プロバイダとして構成されている組込みディレクトリ・サーバーの管理に使用されます。WebブラウザにURLを入力してOracle WebLogic Server管理コンソールを起動します。デフォルトURLは、http://hostname:port_number/consoleのような形式となります。ポート番号は、管理サーバー用に使用される番号と同じであり、デフォルト・ポートは7001です。Oracle WebLogic Server管理コンソールの使用の詳細は、Oracle Fusion Middleware Oracle WebLogic Server管理コンソールのオンライン・ヘルプを参照してください。

Oracle WebLogic Server管理コンソールにログインするには:

1. WebブラウザにURLを入力してOracle WebLogic Serverのログイン・ページを表示します。
たとえば、http://hostname:7001/consoleなどと入力します。

図wls_login.gifの説明

2. Oracle Business Intelligence管理ユーザーおよびパスワード資格証明を使用してログインし、「ログイン」をクリックします。
Oracle Business Intelligenceのインストール中に、ユーザー名およびパスワードが指定されました。これらの値がそれ以降に変更されている場合は、現在の管理ユーザー名とパスワードの組合せを使用してください。

管理コンソールで次のような画面が表示されます。

図wls_adminconsole.gifの説明

3. 必要に応じて「ドメイン構造」のタブとオプションを使用し、ユーザーやグループなどのオプションを構成します。

注意:

デフォルトのWebLogic LDAPサーバーではなくOracle Internet Directoryなどの代替認証プロバイダを使用する場合は、代替認証プロバイダ管理アプリケーション(管理コンソールなど)を使用してユーザーとグループを管理する必要があります。

1.6.2 Oracle Fusion Middleware Controlの使用

Fusion Middleware Controlは、Webブラウザベースのグラフィカル・ユーザー・インタフェースであり、ファームと呼ばれるコンポーネントの集まりを管理できます。ファームには、複数のOracle WebLogic Serverドメイン、1つの管理サーバー、1つ以上の管理対象サーバー、複数のクラスタのほか、ドメインにインストールされ、構成および実行されている複数のOracle Fusion Middlewareコンポーネントが含まれます。インストール時にOracle WebLogic Serverドメインが作成され、Oracle Business Intelligenceがそのドメインにインストールされます。ドメインの名前はbifoundation_domain(簡易インストールまたはエンタープライズ・インストール)で、Fusion Middleware Controlのナビゲーション・ペインの「WebLogicドメイン」フォルダにあります。

Oracle Business Intelligenceのセキュリティは、Oracle Fusion Middleware Controlを使用して次のように管理します。

- Oracle Business Intelligenceリソースへのアクセスを制御するアプリケーション・ロールおよびアプリケーション・ポリシーを管理します。

- シングル・サインオン(SSO)とSecure Sockets Layer (SSL)を管理します。

- Oracle Business Intelligenceに対する複数の認証プロバイダを構成します。

Fusion Middleware Controlにログインするには、Webブラウザを開き、次の形式でFusion Middleware ControlのURLを入力します。

http://hostname.domain:port/em

ポート番号は管理サーバーの番号で、デフォルトは7001です。

Fusion Middleware Controlの使用の詳細は、『Oracle Fusion Middleware管理者ガイド』を参照してください。

Fusion Middleware Controlを使用するには、次の手順を実行します。

1. URLをWebブラウザに入力します。例:

http://host1.example.com:7001/em

図1-3に示すように、Fusion Middleware Controlのログイン・ページが表示されます。

図1-3 Fusion Middleware Controlの「ログイン」ページ

「図1-3 Fusion Middleware Controlの「ログイン」ページ」の説明

2. システム管理者のユーザー名とパスワードを入力し、「ログイン」ボタンをクリックします。
システム全体にわたる管理者のユーザー名とパスワードは、インストール・プロセスの実行時に指定します。このユーザー名とパスワードを使用して、Oracle WebLogic Server管理コンソール、Fusion Middleware ControlおよびOracle Business Intelligenceにログインできます。

または、Oracle BIのAdministratorアプリケーション・ロールに付与されている別のユーザー名とパスワードを入力します。

図1-4に示すように、Fusion Middleware Controlが表示されます。

図1-4 Fusion Middleware Controlのメイン・ページ

「図1-4 Fusion Middleware Controlのメイン・ページ」の説明

3. ファームのメイン・ページで、「Business Intelligence」フォルダを展開します。

4. 「coreapplication」を選択して、Oracle Business Intelligence固有のページを表示します。

5. Fusion Middleware Controlを次のように使用して、Oracle Business Intelligenceのセキュリティを管理します。

- アプリケーション・ロールおよびアプリケーション・ポリシーの管理
詳細は、第2.4項「Fusion Middleware Controlの使用によるアプリケーション・ロールおよびアプリケーション・ポリシーの管理」を参照してください。

- シングル・サインオン(SSO)の構成
詳細は、第4.6項「Fusion Middleware Controlの使用によるSSO認証の有効化」を参照してください。

- Secure Sockets Layer (SSL)の構成
詳細は、次のマニュアルを参照してください。

- 第5.3.1項「Fusion Middleware ControlおよびOracle WebLogic Server管理コンソールの使用によるコンポーネント間のSSL通信の構成」

- 第5.3.2項「Fusion Middleware Controlの使用によるSMTPサーバーのSSLの構成」

1.6.3 Oracle BI管理ツールの使用

Oracle BI管理ツールを使用して、メタデータ・リポジトリのオブジェクトに対してユーザーとアプリケーション・ロールの権限を構成します。

管理ツールを使用するには:

1. 管理ツールにログインします。

注意:

オンライン・モードで管理ツールにログインした場合は、WebLogic Serverのユーザーをすべて表示できます。オフライン・モードで管理ツールにログインした場合は、リポジトリに格納されているユーザーのみを表示できます。

2. (オプション)「管理」→「アイデンティティ」を選択して「Identity Manager」ダイアログを表示します。
図1-5は、インストール済アプリケーション・ロールのBIAdministrator、BIAuthorおよびBIConsumerを表示する「アイデンティティ」ダイアログを示しています。

図1-5 インストール済アプリケーション・ロールを表示する「Identity Manager」ダイアログ

アプリケーション・ロールをダブルクリックして「アプリケーション・ロール <名前>」ダイアログを表示し、「権限」をクリックした場合、「オブジェクト権限」タブを使用し、Oracle BIプレゼンテーション・カタログ内のオブジェクトおよびフォルダに関して、そのアプリケーション・ロールの読取り権限および書込み権限を(リポジトリ内で)表示および構成できます。

3. Identity Managerを閉じます。

4. 「プレゼンテーション」ペインでフォルダを開き、オブジェクトを右クリックして「プレゼンテーション表 <表名>」ダイアログを表示します。

5. 「権限」をクリックして、「権限 <表名>」ダイアログを表示します。
図1-6は、ユーザー、インストール済アプリケーション・ロールのBIAdministrator、BIAuthorおよびBIConsumer、およびアプリケーション・ロールへの権限の設定に使用されるラジオ・ボタンの「読取り」、「読取り/書込み」、「アクセス権なし」および「デフォルト」を示しています。

図1-6 インストール済アプリケーション・ロールを表示する「権限」ダイアログ

1.6.4 プレゼンテーション・サービス管理の使用

ユーザーの権限を構成するには、Presentation Servicesの管理ページを使用します。

プレゼンテーション・サービス管理ページを使用するには:

1. 管理者権限でOracle Business Intelligenceにログインします。

2. 「管理」リンクを選択して、「管理」ページを表示します。

3. 「権限の管理」リンクを選択します。
図1-7に、割り当てられている権限に対してリストされたアプリケーション・ロールを示します。

図1-7 アプリケーション・ロールを表示するプレゼンテーション・サービス管理の「権限の管理」ページ

4. 特定の権限(KPI Builderへのアクセスなど)のリンク(「BIAuthor」など)を選択して、「権限 <権限名>」ダイアログを表示します。

5. ユーザー/ロールの追加アイコン(+)をクリックして「アプリケーション・ロール、カタログ・グループおよびユーザーの追加」ダイアログを表示します。
このダイアログを使用して、アプリケーション・ロール(BIAdministrator、BIAuthor、BIConsumerなど)をこの権限に割り当てます。

1.7 Oracle Business Intelligenceのセキュリティを設定するための詳細な手順

ここでは、Oracle Business Intelligenceの新しいインストールでセキュリティを設定する方法について説明します。タスクには必須のものと、任意のものと、選択した構成次第で必要になるものがあります。この項は、Oracle Business Intelligenceの既存のインストールを保守する場合にも参考になります。

Oracle Business Intelligenceをインストールした後、通常は、デフォルトの構成済ユーザー、グループおよびアプリケーション・ロールを使用して製品を評価します。その後、実際のビジネス要件に応じて独自のユーザー、グループおよびアプリケーション・ロールの作成と開発を反復的に行うことが一般的です。

Oracle Business Intelligenceをインストールしたら、次に示す順序に従ってこれらのタスクを行うことをお薦めします。

1. この章に目を通して、セキュリティのコンセプト、ツールおよび用語の概要を理解してください。特に、第1.6項「Oracle Business Intelligenceでセキュリティを構成するツールの使用」を読んで、セキュリティを構成するためのOracle Business Intelligenceのコンポーネントおよびツールに精通しておく必要があります。

2. 第2.1項「デフォルトのユーザー、グループおよびアプリケーション・ロールの使用」の概要を読んで、ユーザー、グループおよびアプリケーション・ロールのデフォルト設定について学びます。

3. 次のように、ユーザーの認証に使用する認証プロバイダを決定します。

- デフォルトの組込みWebLogic LDAPサーバーを使用する場合は、ステップ4のタスクに従ってください。

- Oracle Internet Directory (OID)などの代替認証プロバイダを使用するようにOracle Business Intelligenceを再構成する場合は、ステップ5のタスクに従ってください。

ヒント:

ユーザーが1000人を超える環境では、WebLogic組込みLDAPサーバーを使用しないことをお薦めします。高可用性およびスケーラビリティを備えた本番環境が必要な場合は、Oracle Internet Directory (OID)などのディレクトリ・サーバー、またはサードパーティのディレクトリ・サーバーを使用する必要があります。

サポートされている認証プロバイダの一覧が掲載されている場所については、「システム要件と動作要件」を参照してください。

4. (組込みWebLogic LDAPサーバーのみ)デフォルトの組込みWebLogic LDAPサーバーを認証プロバイダとして使用する場合は、次の手順に従ってください。

1. 第2.3.2項「組込みWebLogic LDAPサーバーにおける新規ユーザーの作成」の説明に従って、デプロイするユーザーを設定します。
たとえば、分析を表示する必要がある20人のユーザーにOracle Business Intelligenceをデプロイする場合は、20人のユーザーを作成します。

2. ユーザーをデフォルトのグループ(BIAuthorsやBIAdministratorsなど)に割り当てる場合は、第2.3.1.1項「デフォルトのグループへのユーザーの割当て」の手順に従ってください。
たとえば、あるユーザー・セットはBIAuthorsという名前のグループに、また別のユーザー・セットはBIAdministratorsという名前のグループに割り当てます。

3. 新しいグループを作成する場合は、第2.3.3項「組込みWebLogic LDAPサーバーにおけるグループの作成」の説明に従って、使用するグループを設定します。
たとえば、BIConsumersという名前の事前構成済グループを使用することも、同じような権限を持った独自のグループを作成することもできます。

4. 第2.3.4項「組込みWebLogic LDAPサーバーにおけるグループへのユーザーの割当て」の説明に従って、ユーザーを適切なグループに割り当てます。
たとえば、ユーザーをBIAuthorsという名前の事前構成済グループに割り当てることも、作成した新しいグループに割り当てることもできます。

ヒント:

セキュリティを設定する最も簡単な方法は、ユーザーを作成し、デフォルトのグループ(BIAuthorsやBIAdministratorsなど)に割り当てることです。詳細な手順は、第2.3.1.1項「デフォルトのグループへのユーザーの割当て」を参照してください。

独自のグループを使用して、より複雑なセキュリティ・モデルを構築する場合は、新しいグループまたは新しいアプリケーション・ロール、あるいはその両方を作成して、その新しいグループにユーザーを割り当てます。詳細な手順は、第2.3.1.2項「新規グループおよび新規アプリケーション・ロールへのユーザーの割当て」を参照してください。

注意:

システムを10gからアップグレードした場合、Oracle WebLogicドメイン用に構成された認証プロバイダを使用してユーザーを認証するには、USERシステム・セッション変数を設定するリポジトリの初期化ブロックを確認する必要があります。この変数の設定は代替的な認証メカニズムであり、Oracle WebLogicドメイン用に構成された認証プロバイダを使用した認証が失敗した場合に、BIサーバーにアクセスしようとするユーザーを認証します。リポジトリの使用方法の詳細は、付録A「LDAP認証でのUSERセッション変数の定義」および『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionメタデータ・リポジトリ作成者ガイド』を参照してください。

5. (Oracle Internet Directory (OID)のみ)認証プロバイダとしてOIDを使用している場合は、次の手順に従ってください。

1. 第3.2項「代替認証プロバイダを構成するための大まかな手順」の説明に従って、OIDを認証プロバイダとして構成します。

2. (オプション)第3.9項「ポリシー・ストアおよび資格証明ストアとしてのOracle Internet Directoryの構成」の説明に従って、OIDを資格証明ストアおよびポリシー・ストアのプロバイダとして構成します。

3. 必要に応じて、認証プロバイダ・ツール(OIDコンソールなど)を使用して、ユーザーおよびグループを作成します。

6. 第2.4.2項「Fusion Middleware Controlの使用によるアプリケーション・ロールの作成」の説明に従って、デプロイするアプリケーション・ロールを設定します。
たとえば、BIConsumer、BIAuthorおよびBIAdministratorという名前のデフォルトのアプリケーション・ロールを使用することも、独自のアプリケーション・ロールを作成することもできます。

7. (オプション)事前構成済のアプリケーション・ポリシーを使用しない場合は、第2.4.3項「Fusion Middleware Controlの使用によるアプリケーション・ポリシーの作成」の説明に従って、デプロイするアプリケーション・ポリシーを設定します。
たとえば、BIConsumer、BIAuthorおよびBIAdministratorという名前のデフォルトのアプリケーション・ロールによって使用されるデフォルトのアプリケーション・ポリシーを使用することも、独自のアプリケーション・ポリシーを作成することもできます。

8. 次の手順に従って、各グループを適切なアプリケーション・ロールに割り当てます。

- デフォルトの組込みWebLogic LDAPサーバーとともにインストールされるデフォルト・グループ(つまり、BIConsumers、BIAuthorsおよびBIAdministrators)を使用している場合、これらのグループは、適切なアプリケーション・ロール(つまり、BIConsumer、BIAuthorまたはBIAdministrator)に割り当てられます。デフォルトのグループをアプリケーション・ロールに割り当てるために必要な追加の手順はありません。
新しいグループを作成した場合は、第2.4.2.3項「アプリケーション・ロールへのグループの割当て」の説明に従って、この新しいグループを適切なアプリケーション・ロールに割り当てる必要があります。

- Oracle Internet Directoryなどの商用認証プロバイダを使用している場合は、第2.4.2.3項「アプリケーション・ロールへのグループの割当て」の説明に従って、グループを適切なアプリケーション・ロールに割り当てる必要があります。

9. Oracle BIリポジトリでユーザーおよびグループに付与されている権限を調整する場合は、第2.5項「Oracle BI管理ツールの使用によるメタデータ・リポジトリ権限の管理」の説明に従って、管理ツールを使用して権限を更新します。
たとえば、BISuperConsumerという名前のアプリケーション・ロールを有効化して分析を作成できるようにするには、管理ツールを使用してサブジェクト・エリアへの読取りアクセス権を読取り/書込みアクセス権に変更します。

注意:

デフォルトのSampleAppLite.rpdファイルを本番システムで使用する場合、管理ツールを使用して、インストールされた値からパスワードを変更する必要があります。SampleAppLiteリポジトリ・ファイルの詳細は、『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionメタデータ・リポジトリ作成者ガイド』を参照してください。

10. Presentation Servicesの管理ページでユーザーおよびグループに付与されている権限を調整する場合は、第2.6項「アプリケーション・ロールの使用によるPresentation Servicesの権限の管理」の説明に従って、権限を変更します。
たとえば、BISuperConsumerという名前のアプリケーション・ロールがスコアカードを表示できないようにするには、プレゼンテーション・サービスの管理ページを使用して、BISuperConsumerの「スコアカード」権限と「スコアカードの表示」権限を「権限付与」から「拒否」に変更します。

11. シングル・サインオンをデプロイする場合は、第4章「SSO認証の有効化」の手順に従います。

注意:

Oracle Business IntelligenceをSSO環境にデプロイしない場合は、デフォルトの構成をデプロイするうえでその他の構成手順は必要ありません。

12. Secure Sockets Layer (SSL)をデプロイする場合は、第5章「Oracle Business IntelligenceでのSSL構成」の手順に従います。
Oracle Business Intelligenceは、SSLが無効の状態でインストールされます。Oracle Business IntelligenceをSSL環境にデプロイする場合は、第5章「Oracle Business IntelligenceでのSSL構成」の手順に従ってください。

注意:

Oracle Business IntelligenceをSSL環境にデプロイしない場合は、デフォルトの構成をデプロイするうえでその他の構成手順は必要ありません。

1.8 Oracle Business Intelligenceの10gと11gのセキュリティ・モデルの比較

リリース10gとリリース11gでは、セキュリティ・モデルに次のような違いがあります。

- ユーザーおよびグループの定義 - Oracle Business Intelligenceリリース10g では、ユーザーおよびグループは、Oracle BI管理ツールを使用して、リポジトリ・ファイル内で定義できます。Oracle Business Intelligenceリリース11gでは、ユーザーおよびグループは、リポジトリ内で定義できなくなりました。Oracle Business Intelligence Enterprise Editionのアップグレード・アシスタントは、ユーザーおよびグループを、リリース10gのリポジトリからリリース11gインストールの組込みLDAPサーバーに移行します。

- セキュリティ・ポリシーの定義 - Oracle Business Intelligenceリリース10gでは、Oracle BIプレゼンテーション・カタログおよびリポジトリのセキュリティ・ポリシーは、ディレクトリ内のグループを参照するように定義できました。Oracle Business Intelligenceリリース11gでは、セキュリティ・ポリシーをアプリケーション・ロールの観点から定義する、ある程度の間接性が導入され、ディレクトリのユーザーおよびグループに割り当てられます。この間接性により、社内のディレクトリを変更せずにOracle Business Intelligenceリリース11gシステムをデプロイすると同時に、開発、テスト、本番の各環境間でアーティファクトを簡単に移動できるようになりました。

- 管理者ユーザーの使用 - Oracle Business Intelligenceリリース10gインストールでは、Administratorという名前の特殊なユーザーにすべての管理権限が与えられ、そのインストール内のプロセス間の信頼の確立にも使用されています。Oracle Business Intelligenceリリース11gでは、Administratorという名前に特別重要な意味はなく、様々な管理機能を実行する認可を受けたユーザーは1人でなくてもかまいません。Oracle Business Intelligenceリリース11gでは、インストール内のプロセス間の信頼を確立するために使用されるIDは構成可能であり、独立しています。

- リポジトリの暗号化 - Oracle Business Intelligenceリリース10gでは、リポジトリ内の特定の機密要素は暗号化されています。Oracle Business Intelligenceリリース11gでは、ユーザーが提供したパスワードから派生したキーを使用してリポジトリ全体が暗号化されます。

注意:

リリース11gのリポジトリを開くにはパスワードが必要です。パスワードが失われた場合に回復するメカニズムはありません。

Oracle Business Intelligenceリリース10gのセキュリティ・モデルが持つ次の側面は、リリース11gに引き継がれています。

- BIサーバー初期化ブロック - リリース11gでBIサーバーは、認証および認可での初期化ブロックの使用を引き続きサポートします。リリース10gでは、BIサーバーが初期化ブロックを使用するのは、一致するユーザーがリポジトリに見つからなかった場合です。リリース11gでは、Oracle Business Intelligenceが初期化ブロックを使用するのは、インストールの構成済認証プロバイダでユーザーを認証できなかった場合です。
詳細は、『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionメタデータ・リポジトリ作成者ガイド』の初期化ブロックでの作業に関する項を参照してください。

- カタログ・グループ - Oracle Business Intelligenceリリース11gでは、引き続きOracle BIプレゼンテーション・カタログ内でのカタログ・グループの定義がサポートされます。これらのグループは、Oracle BIプレゼンテーション・サービス内でのみ表示可能です。Oracle BIプレゼンテーション・カタログのグループは下位互換性のためにのみ使用し、新しいインストールではアプリケーション・ロールを使用することをお薦めします。
詳細は、第D.2.2項「カタログ・グループの使用」を参照してください。

- SAシステム・サブジェクト・エリア - Oracle Business Intelligenceリリース11gでは、データベース表に格納されているユーザー、グループおよびプロファイル情報へのアクセス方法として、BIサーバーの初期化ブロックと組み合せてSAシステム・サブジェクト・エリアを使用できます。
詳細は、Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionスケジュール・ジョブ・ガイドのSAシステム・サブジェクト・エリアの設定に関する項を参照してください。

リリース10gとリリース11gとの相違点の詳細は、Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionアップグレード・ガイドを参照してください。

1.9 用語

このガイド全体を通じて使用される用語は次のとおりです。

アプリケーション・ポリシー

Oracle Business Intelligenceでは権限はアプリケーション・ロールによって付与されます。デフォルトのセキュリティ構成では、各ロールには事前構成済の一連の権限が与えられています。アプリケーション・ポリシーは、Java EEおよびJAASポリシーのコレクションで、特定のアプリケーションに適用されます。アプリケーション・ポリシーは、各アプリケーション・ロールが付与する権限を定義するメカニズムです。権限の付与は、アプリケーション・ロールに対応するアプリケーション・ポリシーで管理されます。

アプリケーション・ロール

Oracle Business Intelligenceを使用しているときのユーザーの役割を表します。これは、ロールのメンバーに権限を付与するためにOracle Business Intelligenceが使用するコンテナでもあります。アプリケーション・ロールはポリシー・ストア・プロバイダで管理されます。

認証

ログイン中に提示される資格証明を確認することでIDを検証するプロセス。

認証プロバイダ

ユーザーおよびグループの情報にアクセスするために使用されるセキュリティ・プロバイダで、ユーザーの認証を行います。Oracle Business Intelligenceのデフォルトの認証プロバイダは、Oracle WebLogic Server組込みディレクトリ・サーバーで、DefaultAuthenticatorという名前です。

認可

認証されたユーザーに割り当てられた権限に応じて、リソースへのアクセス権限を付与するプロセス。

カタログ・グループ

カタログ・グループは、Oracle BIプレゼンテーション・サービス内でローカルに定義され、Oracle BIプレゼンテーション・カタログのパーミッションの付与に加え、Oracle Business Intelligenceユーザー・インタフェースでの権限の付与に使用されます。

カタログ・パーミッション

これらの権限は、Oracle BIプレゼンテーション・カタログに格納されているオブジェクトへのアクセス権を付与します。権限はカタログに格納され、プレゼンテーション・サービスで管理されます。

カタログ権限

これらの権限は、Oracle BIプレゼンテーション・カタログの機能へのアクセス権を付与します。権限はカタログに格納され、プレゼンテーション・サービスで管理されます。これらの権限は付与されるか、または拒否されます。

資格証明ストア

Oracle Business Intelligence資格証明ストアは、ソフトウェア・コンポーネントによって使用されるシステム資格証明をセキュアに格納するために使用されるファイルです。このファイルは、インストール内のすべてのマシンに自動的にレプリケートされます。

資格証明ストア・プロバイダ

資格証明ストアは、Oracle Business Intelligenceコンポーネント間で内部的に使用される資格証明をセキュアに格納し、管理するために使用されます。たとえば、SSL証明書はここに格納されています。

暗号化

プレーンテキスト情報(データ)を、鍵を使用した場合にかぎり読取りが可能になる読取り不可能なテキストに変換することで、機密が保たれた通信を実現するプロセス。Secure Sockets Layer (SSL)を使用すると、インターネットを介したWebアプリケーション通信など、TCP/IPネットワーク上でセキュアな通信が可能になります。

グローバル一意識別子(GUID)

GUIDは、通常32文字の16進数文字列で、オブジェクトに対して一意の識別子を形成するためにシステムによって生成されます。Oracle Business Intelligenceでは、GUIDは個々のユーザーおよびグループの参照に使用されています。

偽装

偽装は、Oracle Business Intelligenceコンポーネントがユーザーのパスワードを使用することなく、ユーザーの代理としてセッションを確立するために使用する機能です。たとえば、偽装はOracle BIスケジューラがエージェントを実行するときに使用されます。

Oracle WebLogic Serverドメイン

管理サーバーとして知られているインスタンスを含むOracle WebLogicサーバー・リソースの論理的に関連したグループ。ドメイン・リソースはOracle WebLogic Server管理コンソールで構成され、管理されます。インストール時にOracle WebLogic Serverドメインが作成され、Oracle Business Intelligenceがそのドメインにインストールされます。詳細は、付録B.2.2「Oracle WebLogic Serverドメイン」を参照してください。

アイデンティティ・ストア

アイデンティティ・ストアには、ユーザー名、パスワードおよびグループ・メンバーシップの情報が含まれています。Oracle Business Intelligenceでは、アイデンティティ・ストアは通常ディレクトリ・サーバーであり、認証プロセス中に認証プロバイダがアクセスします。たとえば、ログイン時にユーザー名とパスワードの組合せを入力すると、認証プロバイダは、提供された資格証明を検証するためにアイデンティティ・ストアを検索します。Oracle Business Intelligenceは、別のアイデンティティ・ストアを使用するように再構成できます。詳細なリストは、Oracle Fusion Middleware 11gR1のシステム要件およびサポートされているプラットフォームを参照してください。詳細は、「システム要件と動作要件」を参照してください。

ポリシー・ストア・プロバイダ

ポリシー・ストアは、システムおよびアプリケーションに固有のポリシーのリポジトリです。ここには、インストールの一部としてすべて構成済の、Oracle Business Intelligenceのデフォルトのアプリケーション・ロール、権限、ユーザーとグループの間のマッピングの定義が格納されています。Oracle Business Intelligenceの権限は、アイデンティティ・ストアからアプリケーション・ロールにユーザーとグループを割り当てることで付与され、付与された権限はポリシー・ストア内に配置されます。

ポリシー・ストア

アプリケーション・ロール、アプリケーション・ポリシー、およびアプリケーション・ロールに割り当てられたメンバー(ユーザー、グループおよびアプリケーション・ロール)の定義が含まれます。デフォルトのポリシー・ストアは、Oracle Business Intelligenceインストール内のすべてのマシンに自動的にレプリケートされるファイルです。ポリシー・ストアには、ファイルベースまたはLDAPベースのものがあります。

Secure Sockets Layer

セキュアな通信リンクを提供します。SSLでは、選択したオプションに応じて、暗号化、認証および拒否の組合せを提供できます。HTTPベースのリンクの場合、セキュアなプロトコルはHTTPSとして知られています。

セキュリティ・ポリシー

セキュリティ・ポリシーは、個々のユーザーまたは特定のアプリケーション・ロールに付与されている、Oracle Business Intelligenceリソースへのアクセス権をまとめたグループです。アクセス権を制御する場所は、要求されているリソースの管理をどのOracle Business Intelligenceコンポーネントが行っているかによって決まります。ユーザーのセキュリティ・ポリシーは権限付与の組合せであり、次の要素によって決定されます。

- Oracle BIプレゼンテーション・カタログ:
ユーザーがアクセスできるOracle BIプレゼンテーション・カタログ・オブジェクトおよびOracle BIプレゼンテーション・サービス機能がどれであるかを定義します。この機能へのアクセス権は、Oracle Business Intelligenceのユーザー・インタフェースで管理されます。これらの権限は、個々のユーザーに対して、またはアプリケーション・ロールに対応するメンバーシップによって付与されます。

- リポジトリファイル:
リポジトリ・ファイル内に指定したメタデータへのアクセス権を定義します。この機能へのアクセス権は、Oracle BI管理ツールで管理されます。これらの権限は、個々のユーザーに対して、またはアプリケーション・ロールに対応するメンバーシップによって付与されます。

- ポリシー・ストア:
Oracle Business Intelligence、Oracle BI PublisherおよびOracle Real-Time Decisionsの機能のいずれにアクセスできるかを定義します。この機能へのアクセス権は、Oracle Enterprise Manager Fusion Middleware Controlで管理されます。これらの権限は、個々のユーザーに対して、またはアプリケーション・ロールに対応するメンバーシップによって付与されます。

セキュリティ・レルム

インストール中に、Oracle WebLogic Serverドメインが作成され、Oracle Business Intelligenceがそのドメインにインストールされます。Oracle WebLogic Serverドメインのセキュリティは、ドメインのセキュリティ・レルムで管理されます。セキュリティ・レルムは範囲指定メカニズムとして機能します。各セキュリティ・レルムには、一連の構成済セキュリティ・プロバイダ、ユーザー、グループ、セキュリティ・ロール、およびセキュリティ・ポリシーが含まれています。ドメインでは1つのセキュリティ・レルムだけがアクティブになります。Oracle Business Intelligenceの認証は、インストール先のWebLogic Serverドメインのデフォルト・セキュリティ・レルム用に構成された認証プロバイダによって実行されます。Oracle WebLogic Server管理コンソールは、Oracle WebLogic Serverドメインを管理するための管理ツールです。

シングル・サインオン

ユーザーが認証を一度行えば、同じブラウザ・セッションの間は複数のソフトウェア・アプリケーションにアクセスできるようにする認証方法。

ユーザーとグループ

ユーザーとは、認証可能なエンティティです。ユーザーには、アプリケーション・ユーザーなどの人、クライアント・アプリケーションなどのソフトウェア・エンティティがあります。どのユーザーにも、アイデンティティ・ストア内で一意の識別子が付与されています。

グループは、何かしら共通するものを持つユーザーを集合にまとめたものです。グループは、システム管理者によって割り当てられた静的な識別子です。ユーザーをグループにまとめることで、効率的なセキュリティ管理を促進します。グループには、LDAPグループとカタログ・グループの2種類があります。カタログ・グループは、Oracle Business Intelligenceユーザー・インタフェースで権限を付与する場合に、プレゼンテーション・サービスの既存のユーザー・ベースをサポートするために使用されます。カタログ・グループの使用はお薦めしません。これは、アップグレードしたシステムでの下位互換性を目的としたものです。

2 デフォルト・セキュリティ構成を使用したセキュリティの管理

この章では、デフォルトの組込みWebLogic LDAPサーバーを使用してOracle Business Intelligenceをデプロイする方法を説明します。

注意:

セキュリティ設定手順の詳細なリストは、第1.7項「Oracle Business Intelligenceのセキュリティを設定するための詳細な手順」を参照してください。

デフォルトの組込みWebLogic LDAPサーバーをデプロイすることで、事前構成済のユーザー、グループおよびアプリケーション・ロールを使用できます。また、独自のユーザー、グループおよびアプリケーション・ロールを開発することもできます。

この章には次の項が含まれます:

- 第2.1項「デフォルトのユーザー、グループおよびアプリケーション・ロールの使用」

- 第2.2項「デフォルトのグループおよびアプリケーション・ロールを使用したセキュリティ設定の例」

- 第2.3項「組込みWebLogic LDAPサーバーにおけるユーザーおよびグループの管理」

- 第2.4項「Fusion Middleware Controlの使用によるアプリケーション・ロールおよびアプリケーション・ポリシーの管理」

- 第2.5項「Oracle BI管理ツールの使用によるメタデータ・リポジトリ権限の管理」

- 第2.6項「アプリケーション・ロールの使用によるPresentation Servicesの権限の管理」

- 第2.7項「Oracle BI Publisherの使用によるデータ・ソース・アクセスの権限の管理」

- 第2.8項「デフォルトの組込みOracle WebLogic Server LDAPアイデンティティ・ストアの高可用性の有効化」

デフォルトの組込みWebLogic LDAPサーバーから代替認証プロバイダ(たとえば、OID、外部表または別のLDAPディレクトリ)へ、ユーザー(それらの暗号化パスワードを使用)およびグループを移行できます。詳細は、『Oracle Fusion Middleware Oracle WebLogic Serverの保護』を参照してください。

2.1 デフォルトのユーザー、グループおよびアプリケーション・ロールの使用

Oracle Business Intelligenceのインストール時には、Oracle Business Intelligenceのデプロイに使用できる、事前構成済のユーザー、グループおよびアプリケーション・ロールが数多くあります。たとえば、(WebLogicのように、インストール時にユーザーが指定した名前が付けられている)BIAdministratorsグループに割り当てられるユーザー、BIAdministratorsという名前のグループ、BIAdministratorという名前の関連アプリケーション・ロールがあります。デフォルトでインストールされるユーザー、グループおよびアプリケーション・ロールは、連携して機能するように事前構成されます。たとえば、インストールされたBIConsumersグループは、BIConsumerアプリケーション・ロールに割り当てられます。デフォルト・セキュリティ構成の詳細は、付録B「デフォルト・セキュリティ構成の理解」を参照してください。

注意:

デフォルトのユーザー、グループまたはアプリケーション・ロールの変更は、Oracleサポートによってそのように明示的にアドバイスされないかぎり行わないでください。インストールされたグループおよびアプリケーション・ロールで作成したコピーを変更するのみにしてください。

インストールされたアプリケーション・ロールは、インストールされたOracle BIプレゼンテーション・カタログ、BIリポジトリおよびポリシー・ストアを操作できるように、適切な権限を備えて事前構成されます。たとえば、BIAuthorという名前のアプリケーション・ロールは、ダッシュボード、レポート、アクションなどの作成に必要な権限を備えて事前構成されます。

図2-1は、インストール時に事前構成されるアプリケーション・ロール、グループおよびユーザーを示しています。

図2-1 事前構成済のアプリケーション・ロール、グループおよびユーザー

使用可能なグループは、次のとおりです。

- BIConsumers (BIConsumerアプリケーション・ロールで事前構成済)

- BIAuthors (BIAuthorアプリケーション・ロールで事前構成済)

- BIAdministrators (BIAdministratorアプリケーション・ロールで事前構成済)

たとえば、インストール時に指定したユーザー(WebLogicなど)が自動的にBIAdministratorsという名前のWebLogic Administratorsグループに割り当てられ、BIAdministratorという名前の関連アプリケーション・ロールに割り当てられます。このユーザーは、Oracle Business Intelligenceツールにログインして他のユーザーを作成および管理する権限を持ちます。

注意:

グループは階層的に組織され、親グループから権限を継承します。つまり、BIAdministratorsグループは、BIAuthorsグループおよびBIConsumersグループから自動的に権限を継承します。この階層は変更しないでください。

インストールされたグループとアプリケーション・ロールを使用してセキュリティをデプロイできます。必要な場合は、ビジネス・ニーズに合せて独自のグループとアプリケーション・ロールを開発できます。例:

- Fredという名前の従業員に、ダッシュボードおよびレポートの作成を可能にする場合、Fredという名前の新規ユーザーを作成し、FredをデフォルトのBIAuthorsグループに割り当てることができます。

- ユーザーFredに、BIAuthors職務およびBIAdministrator職務の実行を可能にする場合、BIAuthors権限およびBIAdministrators権限を持つBIManagerという名前の新規アプリケーション・ロールを作成できます。

- ユーザーFredをSalesダッシュボード作成者にする場合、リポジトリ内のSalesサブジェクト・エリアの表示およびSalesダッシュボードの編集の権限を持つ、Sales Dashboard Authorという名前のアプリケーション・ロールを作成できます。

インストールされたユーザー、グループおよびアプリケーション・ロールの詳細は、付録B「デフォルト・セキュリティ構成の理解」を参照してください。

2.2 デフォルトのグループおよびアプリケーション・ロールを使用したセキュリティ設定の例

この例では、ユーザー、グループおよびアプリケーション・ロールの小さいセットを使用して、デフォルトのグループおよびアプリケーション・ロールを使用するセキュリティ・ポリシーの設定方法を示します。この例では、次を実装します。

- ビジネス・インテリジェンス・レポートを表示する必要がある、User1、User2およびUser3という名前の3ユーザー

- ビジネス・インテリジェンス・レポートを作成する必要がある、User4およびUser5という名前の2ユーザー

- Oracle Business Intelligenceを管理する、User6およびUser7という名前の2ユーザー

図2-2は、このセキュリティ・モデルを実装するためにデプロイするユーザー、グループおよびアプリケーション・ロールを示しています。

図2-2 ユーザー、グループおよびアプリケーション・ロールの例

図2-2は、次のことを表しています。

- BIConsumersという名前のグループには、User1、User2およびUser3が含まれています。グループBIConsumersのユーザーには、BIConsumerという名前のアプリケーション・ロールが割り当てられています。これによりユーザーはレポートを表示できます。

- BIAuthorsという名前のグループには、User4およびUser5が含まれています。グループBIAuthorsのユーザーには、BIAuthorという名前のアプリケーション・ロールが割り当てられています。これによりユーザーはレポートを作成できます。

- BIAdministratorsという名前のグループには、User6およびUser7が含まれています。グループBIAdministratorsのユーザーには、BIAdministratorという名前のアプリケーション・ロールが割り当てられています。これによりユーザーはリポジトリを管理できます。

この例のセキュリティ・モデルを実装するには:

1. 第2.3.2項「組込みWebLogic LDAPサーバーにおける新規ユーザーの作成」の説明に従って、User1からUser7まで7人のユーザーを作成します。

2. インストールされ事前構成されたグループに、次のようにユーザーを割り当てます。

- BIConsumersという名前の事前構成済グループに、User1、User2およびUser3を割り当てます。

- BIAuthorsという名前の事前構成済グループに、User4およびUser5を割り当てます。

- BIAdministratorsという名前の事前構成済グループに、User6およびUser7を割り当てます。

詳細は、第2.3.4項「組込みWebLogic LDAPサーバーにおけるグループへのユーザーの割当て」を参照してください。

2.3 組込みWebLogic LDAPサーバーにおけるユーザーおよびグループの管理

この項では、組込みWebLogic LDAPサーバーにおけるユーザーおよびグループの管理方法を説明します。次のトピックがあります:

- 第2.3.1項「ユーザー、グループおよびアプリケーション・ロールの設定」

- 第2.3.2項「組込みWebLogic LDAPサーバーにおける新規ユーザーの作成」

- 第2.3.3項「組込みWebLogic LDAPサーバーにおけるグループの作成」

- 第2.3.4項「組込みWebLogic LDAPサーバーにおけるグループへのユーザーの割当て」

- 第2.3.5項「(オプション)組込みWebLogic LDAPサーバーにおけるユーザー・パスワードの変更」

2.3.1 ユーザー、グループおよびアプリケーション・ロールの設定

この項では、ユーザー、グループおよびアプリケーション・ロールを設定するための推奨方法をまとめてあります。

- セキュリティを設定する最も簡単な方法は、ユーザーを作成し、それらをデフォルト・グループ(つまり、BIConsumers、BIAuthorsまたはBIAdministrators)に割り当てることです。
たとえば、Fredという名前のユーザーを作成し、FredをBIAuthorsという名前のデフォルト・グループに割り当てるとします。グループBIAuthorsは、Oracle BIリポジトリやOracle BIプレゼンテーション・カタログなど、他のOracle BIコンポーネントへのアクセスに必要な権限を持つように事前構成されます。

詳細な手順は、第2.3.1.1項「デフォルトのグループへのユーザーの割当て」を参照してください。

- デフォルト・グループ(つまり、BIConsumers、BIAuthorsまたはBIAdministrators)がビジネス要件を満たしていない場合は、独自のグループおよびアプリケーション・ロールを作成することで、デフォルト・セキュリティ・モデルを拡張できます。
たとえば、Jimという名前のユーザーを作成し、BIMarketingRoleという名前の新規アプリケーション・ロールに割り当てられるBIMarketingGroupという名前の新規グループにJimを割り当てる場合などがあります。

詳細な手順は、第2.3.1.2項「新規グループおよび新規アプリケーション・ロールへのユーザーの割当て」を参照してください。

2.3.1.1 デフォルトのグループへのユーザーの割当て

新規ユーザーを作成し、そのユーザーをデフォルトのグループに割り当てるには:

1. 第1.6.1項「Oracle WebLogic Server管理コンソールの使用」の説明に従って、WebLogic管理コンソールを起動します。

2. 第2.3.2項「組込みWebLogic LDAPサーバーにおける新規ユーザーの作成」の説明に従って、新規ユーザーを作成します。

3. 第2.3.4項「組込みWebLogic LDAPサーバーにおけるグループへのユーザーの割当て」の説明に従って、インストールされたグループのいずれか(つまり、BIConsumers、BIAuthorsまたはBIAdministrators)に新規ユーザーを割り当てます。

2.3.1.2 新規グループおよび新規アプリケーション・ロールへのユーザーの割当て

新規ユーザーを作成して、そのユーザーを新規グループおよび新規アプリケーション・ロールに割り当てるには:

1. 第1.6.1項「Oracle WebLogic Server管理コンソールの使用」の説明に従って、WebLogic管理コンソールを起動します。

2. 第2.3.2項「組込みWebLogic LDAPサーバーにおける新規ユーザーの作成」の説明に従って、新規ユーザーを作成します。

3. 第2.3.3項「組込みWebLogic LDAPサーバーにおけるグループの作成」の説明に従って、新規グループを作成します。

4. 第2.3.4項「組込みWebLogic LDAPサーバーにおけるグループへのユーザーの割当て」の説明に従って、新しいユーザーを新しいグループに割り当てます。

5. 第2.4.2.2項「アプリケーション・ロールの作成」の説明に従って、新規アプリケーション・ロールを作成し、それを新規グループに割り当てます。
グループをアプリケーション・ロールに割り当てるのみの場合は、第2.4.2.3項「アプリケーション・ロールへのグループの割当て」の手順を実行します。

6. 第2.5.2項「アプリケーション・ロールのリポジトリ権限の設定」の説明に従って、Oracle BIリポジトリを編集し、新規アプリケーション・ロールの権限を設定します。

7. 第2.6.3項「アプリケーション・ロールに対するPresentation Servicesの権限の設定」の説明に従って、Oracle BI Presentation Catalogを編集し、新規のユーザーおよびグループの権限を設定します。

2.3.2 組込みWebLogic LDAPサーバーにおける新規ユーザーの作成

通常、Oracle Business Intelligence環境では、ビジネス・ユーザーごとに別々のユーザーを作成します。たとえば、レポート・コンシューマを30ユーザー、レポート作成者を3ユーザー、および管理者を1ユーザー、デプロイするように計画できます。この場合は、Oracle WebLogic Server管理コンソールを使用して34ユーザーを作成し、それらのユーザーを後で適切なグループに割り当てます(たとえば、BIConsumers、BIAuthorsおよびBIAdministratorsという名前の事前構成済グループを使用できます)。

ヒント:

一連のユーザー、グループおよびアプリケーション・ロールを示すセキュリティ・モデルの例は、第2.2項「デフォルトのグループおよびアプリケーション・ロールを使用したセキュリティ設定の例」を参照してください。

デプロイするユーザーごとに、この作業を繰り返します。

いずれのグループにも割り当てられていない新規ユーザーがログインすると、Authenticated Userアプリケーション・ロールとの関連付けを介して、BIConsumerアプリケーション・ロールにより基本レベルの操作権限が付与されます。詳細は、付録B「デフォルト・セキュリティ構成」を参照してください。

組込みWebLogic LDAPサーバーにおいて新規ユーザーを作成するには:

1. Oracle WebLogic Server管理コンソールにログインします。
詳細は、第1.6.1項「Oracle WebLogic Server管理コンソールの使用」を参照してください。

2. Oracle WebLogic Server管理コンソールで左ペインから「セキュリティ・レルム」を選択し、構成するレルムをクリックします。たとえば、「myrealm」をクリックします。

3. 「ユーザーとグループ」タブ→「ユーザー」を選択します。「新規」をクリックします。
図wls_usertab.gifの説明

4. 「新しいユーザーの作成」ペインで、次の情報を指定します。

- 名前: ユーザーの名前を入力します。無効な文字のリストは、オンライン・ヘルプを参照してください。

- (オプション)説明: 説明を入力します。

- プロバイダ: ユーザー情報が含まれるアイデンティティ・ストアに対応するリストから、認証プロバイダを選択します。DefaultAuthenticatorは、デフォルト認証プロバイダの名前です。

- パスワード: 8文字以上の長さで、ユーザーのパスワードを入力します。

- パスワードの確認: ユーザー・パスワードを再入力します。
図wls_newuser.gifの説明

5. 「OK」をクリックします。
ユーザー名は、User表に追加されます。

2.3.3 組込みWebLogic LDAPサーバーにおけるグループの作成

通常、Oracle Business Intelligence環境では、ビジネス・ユーザーの機能タイプごとに別々のグループを作成します。たとえば、標準的なデプロイメントには、BIConsumers、BIAuthorsおよびBIAdministratorsという3つのグループが必要となる場合があります。この場合は、Oracle Business IntelligenceとともにインストールされたBIConsumers、BIAuthorsおよびBIAdministratorsという名前の事前構成済グループを使用するか、独自のカスタム・グループを作成することができます。

ヒント:

一連のユーザー、グループおよびアプリケーション・ロールを示すセキュリティ・モデルの例は、第2.2項「デフォルトのグループおよびアプリケーション・ロールを使用したセキュリティ設定の例」を参照してください。

デプロイするグループごとに、この作業を繰り返します。

組込みWebLogic LDAPサーバーにおいてグループを作成するには:

1. Oracle WebLogic Server管理コンソールを起動します。
詳細は、第1.6.1項「Oracle WebLogic Server管理コンソールの使用」を参照してください。

2. Oracle WebLogic Server管理コンソールで左ペインから「セキュリティ・レルム」を選択し、構成するレルムをクリックします。たとえば、「myrealm」をクリックします。

3. 「ユーザーとグループ」タブ→「グループ」を選択します。「新規」をクリックします。

4. 「新しいグループの作成」ペインで、次の情報を指定します。

- 名前: グループの名前を入力します。グループ名は、大文字と小文字が区別され、一意である必要があります。無効な文字のリストは、オンライン・ヘルプを参照してください。

- (オプション)説明: 説明を入力します。

- プロバイダ: グループ情報が含まれるアイデンティティ・ストアに対応するリストから、認証プロバイダを選択します。DefaultAuthenticatorは、デフォルト認証プロバイダの名前です。

5. 「OK」をクリックします。
グループ名は、Group表に追加されます。

2.3.4 組込みWebLogic LDAPサーバーにおけるグループへのユーザーの割当て

通常は、各ユーザーを適切なグループに割り当てます。たとえば、標準的なデプロイメントには、レポート・コンシューマをBIConsumersという名前のグループに割り当てるためのユーザーIDの作成が必要となる場合があります。この場合は、BIConsumersという名前のデフォルトのグループにユーザーを割り当てるか、作成したカスタム・グループにユーザーを割り当てることができます。

ヒント:

一連のユーザー、グループおよびアプリケーション・ロールを示すセキュリティ・モデルの例は、第2.2項「デフォルトのグループおよびアプリケーション・ロールを使用したセキュリティ設定の例」を参照してください。

この作業を繰り返して、各ユーザーを適切なグループに割り当てます。

組込みWebLogic LDAPサーバーにおいてグループにユーザーを追加するには:

1. Oracle WebLogic Server管理コンソールを起動します。
詳細は、第1.6.1項「Oracle WebLogic Server管理コンソールの使用」を参照してください。

2. Oracle WebLogic Server管理コンソールで左ペインから「セキュリティ・レルム」を選択し、構成するレルムをクリックします。たとえば、「myrealm」をクリックします。

3. 「ユーザーとグループ」タブ→「ユーザー」を選択します。

4. 「ユーザー」表で、グループに追加するユーザーを選択します。
図wls_usertogroup.gifの説明

5. 「グループ」タブを選択します。

6. 「使用可能」リスト・ボックスから1つまたは複数のグループを選択します。
図wls_group.gifの説明

7. 「保存」をクリックします。

2.3.5 (オプション)組込みWebLogic LDAPサーバーにおけるユーザー・パスワードの変更

ユーザーのデフォルト・パスワードを変更したい場合は、このオプションのタスクを実行します。

組込みWebLogic LDAPサーバーにおいてユーザー・パスワードを変更するには:

1. Oracle WebLogic Server管理コンソールで左ペインから「セキュリティ・レルム」を選択し、構成するレルムをクリックします。たとえば、「myrealm」をクリックします。

2. 「ユーザーとグループ」タブ→「ユーザー」を選択します。

3. Users表で、パスワードを変更したいユーザーを選択します。ユーザーの「設定」ページが表示されます。
図wls_settings.gifの説明

4. 「パスワード」タブを選択し、「新規パスワード」フィールドおよび「パスワード確認」フィールドにパスワードを入力します。

5. 「保存」をクリックします。

注意:

システム・ユーザーのパスワードを変更する場合は、資格証明ストアでも変更する必要があります。

2.4 Fusion Middleware Controlの使用によるアプリケーション・ロールおよびアプリケーション・ポリシーの管理

Oracle Business Intelligenceでは、Fusion Middleware Controlを使用して、ユーザーおよびグループに権限を与えるアプリケーション・ロールおよびアプリケーション・ポリシーを管理します。Fusion Middleware Controlの使用の詳細は、Oracle Fusion Middleware管理者ガイドを参照してください。

- 第2.4.1項「Fusion Middleware Controlの使用によるアプリケーション・ポリシーおよびアプリケーション・ロールの表示」

- 第2.4.2項「Fusion Middleware Controlの使用によるアプリケーション・ロールの作成」

- 第2.4.3項「Fusion Middleware Controlの使用によるアプリケーション・ポリシーの作成」

- 第2.4.4項「Fusion Middleware Controlの使用によるアプリケーション・ロールの変更」

ヒント:

デフォルトの組込みWebLogic LDAPサーバーとともにインストールされるデフォルト・グループ(つまり、BIConsumers、BIAuthorsおよびBIAdministrators)を使用している場合、これらのグループは、適切なアプリケーション・ロール(つまり、BIConsumer、BIAuthorまたはBIAdministrator)に割り当てられます。デフォルトのグループをアプリケーション・ロールに割り当てるために必要な追加の手順はありません。

セキュリティを設定する最も簡単な方法は、デフォルトのアプリケーション・ロール(つまり、BIConsumer、BIAuthorおよびBIAdministrator)にグループを割り当てることです。デフォルトのグループはそれぞれ、適切なデフォルトのアプリケーション・ロールを使用するように事前構成されています。たとえば、BIAuthorsという名前のデフォルトのグループは、BIAuthorという名前のデフォルトのアプリケーション・ロールに割り当てられます。つまり、BIAuthorsという名前のデフォルトのグループに追加するすべてのユーザーには、レポートの作成および関連職務の実行に必要な権限が、自動的に付与されます。

より複雑またはきめ細かなセキュリティ・モデルを作成する場合は、この項の説明に従って、独自のアプリケーション・ロールおよびアプリケーション・ポリシーを作成できます。たとえば、マーケティング部門のレポート作成者に、メタデータ・リポジトリおよびOracle BIプレゼンテーション・カタログのマーケティング領域への書込みアクセス権のみを付与するとします。これを実現するには、BIAuthorMarketingという名前の新規アプリケーション・ロールを作成し、それに適切な権限を提供します。

注意:

デフォルトのポリシー・ストアをデプロイしている場合は、元のsystem-jazn-data.xmlポリシー・ファイルのコピーを作成し、それを安全な場所に配置することをお薦めします。必要に応じて、元のファイルのコピーを使用してデフォルトのポリシー・ストア構成をリストアします。デフォルトのセキュリティ構成に対する変更は、望ましくない状態を引き起こす可能性があります。デフォルトの場所は、 MW_HOME/user_projects/domain/<your_domain>/config/fmwconfigです。

デプロイするアプリケーション・ロールを設定するには、次のことを行います。

- 必要に応じて、新規アプリケーション・ロールを作成します。詳細は、第2.4.2項「Fusion Middleware Controlの使用によるアプリケーション・ロールの作成」を参照してください。

注意:

デフォルトのアプリケーション・ポリシーに基づいてアプリケーション・ロールを作成するか、独自のアプリケーション・ポリシーを作成できます。デフォルトのユーザー、グループおよびアプリケーション・ロールの詳細は、第2.1項「デフォルトのユーザー、グループおよびアプリケーション・ロールの使用」を参照してください。

- 必要に応じて、新規アプリケーション・ポリシーを作成します。詳細は、第2.4.3項「Fusion Middleware Controlの使用によるアプリケーション・ポリシーの作成」を参照してください。

- (オプション)必要に応じて、アプリケーション・ロールの権限付与またはメンバーシップを変更します。詳細は、第2.4.4項「Fusion Middleware Controlの使用によるアプリケーション・ロールの変更」を参照してください。

2.4.1 Fusion Middleware Controlの使用によるアプリケーション・ポリシーおよびアプリケーション・ロールの表示

この項では、Fusion Middleware Controlを使用して、アプリケーション・ロールおよびアプリケーション・ポリシーを管理するページにアクセスする方法を説明します。

Fusion Middleware Controlを使用してアプリケーション・ポリシーおよびアプリケーション・ロールを表示するには:

ここでは、Oracle Business Intelligenceのアプリケーション・ポリシーまたはアプリケーション・ロールを表示する方法について説明します。

1. Fusion Middleware Controlにログインします。
詳細は、第1.6.2項「Oracle Fusion Middleware Controlの使用」を参照してください。

2. ナビゲーション・ペインから「Business Intelligence」フォルダを展開し、「coreapplication」を選択します。

3. 次のオプションのいずれか1つを選択します。

- 「coreapplication」を右クリックし、メニューから「セキュリティ」を選択して、「アプリケーション・ポリシー」または「アプリケーション・ロール」を選択します。
図coreapp_security_navigation.gifの説明

- またはコンテンツ・ペインから、「Business Intelligenceインスタンス」をクリックしてメニューを表示し、「セキュリティ」→「アプリケーション・ポリシー」または「アプリケーション・ロール」を選択します。
Fusion Middleware Controlの他の「セキュリティ」メニュー・オプションは、これらのメニューからは利用できません。

4. (オプション)ステップ2および3の別のオプションとして、「WebLogicドメイン」フォルダを展開し、「bifoundation_domain」を選択して右クリック(または「WebLogicドメイン」メニューをクリック)します。
「セキュリティ」メニューに適切なメニュー・オプションが表示されます。

Fusion Middleware Controlの他のメニュー・オプションは、このメニューから利用できます。

5. 「アプリケーション・ポリシー」または「アプリケーション・ロール」を選択し、「アプリケーション・ポリシー」ページまたは「アプリケーション・ロール」ページを表示します。

- obiアプリケーション・ストライプがデフォルトで表示される場合
Oracle Business Intelligenceのポリシーまたはロールが表示されます。

- obiアプリケーション・ストライプがデフォルトで表示されない場合
obiアプリケーション・ストライプを使用して検索し、Oracle Business Intelligenceのポリシーやロールを表示する必要があります。

図2-3は、「アプリケーション・ポリシー」ページとデフォルトのOracle Business Intelligenceアプリケーション・ポリシーを示しています。

図2-3 「アプリケーション・ポリシー」ページ

「図2-3 「アプリケーション・ポリシー」ページ」の説明

図2-4は、デフォルトのOracle Business Intelligenceアプリケーション・ロールを表示する「アプリケーション・ロール」ページを示しています。

図2-4 「アプリケーション・ロール」ページ

「図2-4 「アプリケーション・ロール」ページ」の説明

2.4.2 Fusion Middleware Controlの使用によるアプリケーション・ロールの作成

この項では、Oracle Fusion Middleware Controlの使用によるアプリケーション・ロールの作成方法および管理方法を説明します。次のトピックがあります:

- 第2.4.2.1項「概要」

- 第2.4.2.2項「アプリケーション・ロールの作成」

- 第2.4.2.3項「アプリケーション・ロールへのグループの割当て」

2.4.2.1 概要

新しいOracle Business Intelligenceのデプロイメントでは、通常、Oracle Business Intelligence環境でのビジネス・ユーザー・アクティビティのタイプごとにアプリケーション・ロールを作成します。たとえば、標準的なデプロイメントには、BIConsumer、BIAuthorおよびBIAdministratorという3つのアプリケーション・ロールが必要となる場合があります。この場合は、Oracle Business IntelligenceとともにインストールされるBIConsumer、BIAuthorおよびBIAdministratorという名前の事前構成済アプリケーション・ロールを使用するか、独自のカスタム・アプリケーション・ロールを作成できます。デフォルト・アプリケーション・ロールの詳細は、第2.1項「デフォルトのユーザー、グループおよびアプリケーション・ロールの使用」を参照してください。

Oracle Business Intelligenceアプリケーション・ロールは、ユーザーが保持しているロールを表します。たとえば、セールス・アナリストのアプリケーション・ロールを保持することにより、会社のセールス・パイプラインに関するレポートを表示、編集および作成するためのユーザー・アクセスが許可されます。新規アプリケーション・ロールを作成して、インストール中に構成されたデフォルト・ロールを補完または置換できます。アプリケーション・ロールをディレクトリ・サーバー・グループから分離して区別しておくことで、認可要件に対応しやすくなります。企業のディレクトリ・サーバーで定義されているグループを変更する必要なく、環境のビジネス・ロールと一致する新規アプリケーション・ロールを作成できます。認可要件をより効率的にコントロールするには、ユーザーの既存グループをディレクトリ・サーバーからアプリケーション・ロールに割り当てます。

注意:

新規アプリケーション・ロールを作成し、それをデフォルトのOracle Business Intelligenceセキュリティ構成に追加する前に、権限およびグループの継承がどのように行われるのかを把握しておいてください。ロールの階層を構築するときは、循環依存が生じないことが重要です。詳細は、第B.4.4項「アプリケーション・ロールを使用してユーザー権限を付与する方法」を参照してください。

アプリケーション・ロールの作成の詳細は、『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』のFusion Middleware Controlを使用したポリシーの管理に関する項を参照してください。

注意:

オフライン・モードでのBIリポジトリの使用についての高度な情報は、第2.5.3.1項「メタデータ・リポジトリ内のアプリケーション・ロールの管理について」を参照してください。

2.4.2.2 アプリケーション・ロールの作成

新しいアプリケーション・ロールを作成するには、2つの方法があります。

- 新規作成: 新規アプリケーション・ロールを作成します。複数のメンバーを同時に追加することも、新しいロールに名前を付けて保存しておき、後でメンバーを追加することもできます。

- 既存のコピー: 既存のアプリケーション・ロールをコピーすることで、アプリケーション・ロールを作成します。コピーには元と同じメンバーが含まれ、元と同じアプリケーション・ポリシーの権限受領者となります。新規アプリケーション・ロールをさらにカスタマイズするために、必要に応じて、コピーに対して変更を行うことができます。

アプリケーション・ロール内のメンバーシップは、Fusion Middleware Controlの「アプリケーション・ロール」ページを使用してコントロールされます。アプリケーション・ロールの有効メンバーには、ユーザー、グループおよび他のアプリケーション・ロールがあります。

権限付与は、Fusion Middleware Controlの「アプリケーション・ポリシー」ページでコントロールされます。権限付与定義がアプリケーション・ポリシーで設定され、その後、アプリケーション・ポリシーがアプリケーション・ロールに付与されます。詳細は、第2.4.3項「Fusion Middleware Controlの使用によるアプリケーション・ポリシーの作成」を参照してください。

新規アプリケーション・ロールを作成するには:

1. Fusion Middleware Controlにログインし、「アプリケーション・ロール」ページを表示します。
詳細は、第2.4.1項「Fusion Middleware Controlの使用によるアプリケーション・ポリシーおよびアプリケーション・ロールの表示」を参照してください。

obiアプリケーション・ストライプが事前に選択され、アプリケーション・ポリシーが表示されるかどうかは、「アプリケーション・ロール」ページへの移動に使用される方法によって異なります。

2. 必要な場合は、「検索するアプリケーション・ストライプの選択」を選択し、リストから「obi」を選択します。「ロール名」の横にある検索アイコンをクリックします。

Oracle Business Intelligenceアプリケーション・ロールが表示されます。図2-5は、デフォルト・アプリケーション・ロールを示しています。

図2-5 Fusion Middleware Controlのデフォルト・アプリケーション・ロール

「図2-5 Fusion Middleware Controlのデフォルト・アプリケーション・ロール」の説明

3. 「作成」をクリックして「アプリケーション・ロールの作成」ページを表示します。すべての情報を一度に入力することも、「ロール名」を入力し、保存しておいて、それ以外のフィールドを後で入力することもできます。各フィールドに次の情報を入力します。
「一般」では:

- ロール名: アプリケーション・ロールの名前を入力します。

- (オプション)表示名: アプリケーション・ロールの表示名を入力します。

- (オプション)説明: アプリケーション・ロールの説明を入力します。

「メンバー」セクションで、アプリケーション・ロールに割り当てられるユーザー、グループまたはアプリケーション・ロールを選択します。「アプリケーション・ロールの追加」、「グループの追加」または「ユーザーの追加」を選択します。表示されるダイアログ・ボックス内を検索するには:

- 「名前」フィールドに名前を入力し、青いボタンをクリックして検索します。

- 「使用可能」ボックスで、戻された結果から選択します。

- シャトル・コントロールを使用して、必要な名前を「選択済」ボックスに移動します。

- 「OK」をクリックして、「アプリケーション・ロールの作成」ページに戻ります。

- 必要なすべてのメンバーがアプリケーション・ロールに追加されるまで、手順を繰り返します。

4. 「OK」をクリックして、「アプリケーション・ロール」ページに戻ります。
作成したアプリケーション・ロールがページ下部の表に表示されます。

既存のアプリケーション・ロールに基づいてアプリケーション・ロールを作成するには:

1. Fusion Middleware Controlにログインし、「アプリケーション・ロール」ページを表示します。
詳細は、第2.4.1項「Fusion Middleware Controlの使用によるアプリケーション・ポリシーおよびアプリケーション・ロールの表示」を参照してください。

obiアプリケーション・ストライプが事前に選択され、アプリケーション・ポリシーが表示されるかどうかは、「アプリケーション・ロール」ページへの移動に使用される方法によって異なります。

2. 必要な場合は、「検索するアプリケーション・ストライプの選択」を選択し、リストから「obi」を選択します。「ロール名」の横にある検索アイコンをクリックします。
Oracle Business Intelligenceアプリケーション・ロールが表示されます。

3. リストからコピーするアプリケーション・ロールを選択し、アクション・ボタンを有効にします。

4. 「類似作成」をクリックし、「アプリケーション・ロールの類似作成」ページを表示します。
「メンバー」セクションに、元のロールに割り当てられるのと同じアプリケーション・ロール、グループまたはユーザーが入力されます。

5. 「ロール名」、「表示名」および「説明」フィールドに入力します。
図2-6は、デフォルトのBIAuthorアプリケーション・ロールに基づいた新規アプリケーション・ロールMyNewRoleの作成を示しています。

図2-6 デフォルトのBIAuthorロールに基づいた新規アプリケーション・ロール

「図2-6 デフォルトのBIAuthorロールに基づいた新規アプリケーション・ロール」の説明

6. 必要に応じてメンバーを変更し、「OK」をクリックします。
新規に作成したアプリケーション・ロールがページ下部の表に表示されます。図2-7は、デフォルトのBIAuthorアプリケーション・ロールに基づいた、MyNewRoleという名前の新規作成アプリケーション・ロールを示しています。

図2-7 新規作成アプリケーション・ロール

「図2-7 新規作成アプリケーション・ロール」の説明

2.4.2.3 アプリケーション・ロールへのグループの割当て

グループをアプリケーション・ロールに割り当て、そのグループ内のユーザーに適切なセキュリティ権限を提供します。たとえば、BIMarketingGroupという名前のマーケティング・レポート・コンシューマ用グループがBIConsumerMarketingという名前のアプリケーション・ロールを必要とするとします。この場合、BIMarketingGroupという名前のグループをBIConsumerMarketingという名前のアプリケーション・ロールに割り当てます。

アプリケーション・ロールにグループを割り当てるには:

1. Fusion Middleware Controlにログインし、「アプリケーション・ロール」ページを表示します。
詳細は、第2.4.1項「Fusion Middleware Controlの使用によるアプリケーション・ポリシーおよびアプリケーション・ロールの表示」を参照してください。

obiアプリケーション・ストライプが事前に選択され、アプリケーション・ポリシーが表示されるかどうかは、「アプリケーション・ロール」ページへの移動に使用される方法によって異なります。

2. 必要な場合は、「検索するアプリケーション・ストライプの選択」を選択し、リストから「obi」を選択します。「ロール名」の横にある検索アイコンをクリックします。

Oracle Business Intelligenceアプリケーション・ロールが表示されます。図2-8は、デフォルト・アプリケーション・ロールを示しています。

図2-8 デフォルト・アプリケーション・ロール

「図2-8 デフォルト・アプリケーション・ロール」の説明

3. リスト内のアプリケーション・ロールを選択し、「編集」をクリックして編集ダイアログを表示し、次のようにフィールドに入力します。

4. 「メンバー」セクションで「グループの追加」オプションを使用して、「ロール」リストに割り当てるグループを追加します。
たとえば、BIMarketingGroupという名前のマーケティング・レポート・コンシューマ用グループがBIConsumerMarketingという名前のアプリケーション・ロールを必要とする場合は、BIMarketingGroupという名前のグループを「ロール」リストに追加します。

5. 「OK」をクリックして、「アプリケーション・ロール」ページに戻ります。

2.4.3 Fusion Middleware Controlの使用によるアプリケーション・ポリシーの作成

デフォルトの事前構成済アプリケーション・ポリシーに基づいてアプリケーション・ロールを作成したり、独自のアプリケーション・ポリシーを作成できます。

アプリケーション・ポリシーは、メタデータ・リポジトリまたはOracle BIプレゼンテーション・カタログのオブジェクトおよび機能には権限を適用しません。

すべてのOracle Business Intelligence権限はインストールの一部として提供され、新しい権限は作成できません。アプリケーション・ポリシーは、権限付与を定義するメカニズムです。権限付与は、Fusion Middleware Controlの「アプリケーション・ポリシー」ページでコントロールされます。権限付与は、アプリケーション・ポリシーで定義されます。アプリケーション・ロール、ユーザーまたはグループは、その後、アプリケーション・ポリシーに割り当てられます。このプロセスにより、アプリケーション・ロールがアプリケーション・ポリシーの権限受領者になります。

新しいアプリケーション・ポリシーを作成するには、2つの方法があります。

- 新規作成: 新規アプリケーション・ポリシーを作成し、それに権限が追加されます。

- 既存のコピー: 既存のアプリケーション・ポリシーをコピーすることで、新規アプリケーション・ポリシーを作成します。コピーに名前が付けられ、既存の権限が削除されるか権限が追加されます。

アプリケーション・ポリシーの作成の詳細は、『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』のFusion Middleware Controlを使用したポリシーの管理に関する項を参照してください。

新しいアプリケーション・ポリシーを作成するには:

1. Fusion Middleware Controlにログインし、「アプリケーション・ポリシー」ページを表示します。
詳細は、第2.4.1項「Fusion Middleware Controlの使用によるアプリケーション・ポリシーおよびアプリケーション・ロールの表示」を参照してください。

obiアプリケーション・ストライプが事前に選択され、Oracle Business Intelligenceアプリケーション・ポリシーが表示されるかどうかは、「アプリケーション・ポリシー」ページへの移動に使用される方法によって異なります。

2. 必要な場合は、「検索するアプリケーション・ストライプの選択」を選択し、リストから「obi」を選択します。「ロール名」の横にある検索アイコンをクリックします。
Oracle Business Intelligenceアプリケーション・ポリシーが表示されます。「プリンシパル」列に、ポリシー権限受領者の名前が表示されます。
図em_createpolicy.gifの説明

3. 「作成」をクリックして、「アプリケーション権限の作成」ページを表示します。

4. 作成するポリシーに権限を追加するには、「権限」領域で「追加」をクリックして「権限の追加」ダイアログを表示します。

- 「検索」領域に入力し、「リソース名」フィールドの横の青い検索ボタンをクリックします。
obiアプリケーション・ストライプで検出されたすべての権限が表示されます。
図em_newpolicypermission.gifの説明

- 必要なOracle Business Intelligencer権限を選択し、「OK」をクリックします。必要なすべての権限が選択されるまで繰り返します。Oracle Business Intelligence以外の権限を選択することによる、ポリシーへの影響はありません。

- 任意のアイテムを削除するには、それを選択して、「削除」をクリックします。

「アプリケーション権限の作成」ページに戻されます。選択した権限が「権限」領域に表示されます。

5. 作成するポリシーにアプリケーション・ロールを追加するには、「権限受領者」領域の「アプリケーション・ロールの追加」をクリックして、「アプリケーション・ロールの追加」ダイアログを表示します。

- 「検索」領域に入力し、「リソース名」フィールドの横の青い検索ボタンをクリックします。

- 「使用可能なロール」リストから選択し、シャトル・コントロールを使用して、それを「選択したロール」に移動します。

- 「OK」をクリックします。

「アプリケーション・ポリシー」ページに戻ります。作成したポリシーのプリンシパルおよび権限が表に表示されます。次の図は、権限受領者(プリンシパル)としてMyNewRoleアプリケーション・ロールで作成した新規アプリケーション・ポリシーを示しています。
図em_newpolicy06.gifの説明

既存のアプリケーション・ポリシーに基づいてアプリケーション・ポリシーを作成する手順は、次のとおりです。

1. Fusion Middleware Controlにログインし、「アプリケーション・ポリシー」ページを表示します。
詳細は、第2.4.1項「Fusion Middleware Controlの使用によるアプリケーション・ポリシーおよびアプリケーション・ロールの表示」を参照してください。

obiアプリケーション・ストライプが事前に選択され、アプリケーション・ポリシーが表示されるかどうかは、「アプリケーション・ポリシー」ページへの移動に使用される方法によって異なります。

2. 必要な場合は、「検索するアプリケーション・ストライプの選択」を選択し、リストから「obi」を選択します。「ロール名」の横にある検索アイコンをクリックします。
Oracle Business Intelligenceアプリケーション・ポリシーが表示されます。「プリンシパル」列に、ポリシー権限受領者の名前が表示されます。

3. 表から既存のポリシーを選択します。
次の図は、この手順で例として使用される、「類似作成」ボタンがアクティブな、選択されたBIAuthorプリンシパルを示しています。
図em_newpolicy01.gifの説明

4. 「類似作成」をクリックし、「アプリケーション権限の類似作成」ページを表示します。権限表に、選択したポリシーによって付与された権限が自動的に読み込まれます。
次の図は、BIAuthorポリシーが選択された後の「アプリケーション権限の類似作成」ダイアログを示しています。BIAuthorポリシーに対して付与される権限が「権限」セクションに入力されていることに注意してください。
図em_newpolicycopy.gifの説明

5. 任意のアイテムを削除するには、それを選択して、「削除」をクリックします。

6. ポリシーにアプリケーション・ロールを追加するには、「権限受領者」領域の「アプリケーション・ロールの追加」をクリックして、「アプリケーション・ロールの追加」ダイアログを表示します。
次の図では、例としてMyNewRoleアプリケーション・ロールを使用します。

- 「検索」領域に入力し、「リソース名」フィールドの横の青い検索ボタンをクリックします。検索と一致したアプリケーション・ロールが表示されます。
図em_newpolicy03.gifの説明

- 「使用可能なロール」リストから選択し、シャトル・コントロールを使用して、それを「選択したロール」に移動します。選択されたアプリケーション・ロールが「アプリケーション権限の類似作成」ページに「権限受領者」として追加され、表示されます。
図em_newpolicy04.gifの説明

- 「OK」をクリックします。「アプリケーション権限の類似作成」ダイアログに戻って、「権限受領者」セクションへの入力が完了します。

図em_newpolicy05.gifの説明

- 「OK」をクリックして、「アプリケーション・ロール」ページに戻ります。
アプリケーション・ポリシーのプリンシパルおよび権限が作成され、表に表示されます。

図em_newpolicy06.gifの説明

2.4.4 Fusion Middleware Controlを使用したアプリケーション・ロールの変更

次のように、対応するアプリケーション・ポリシー(アプリケーション・ロールがアプリケーション・ポリシーの権限受領者の場合)の権限付与を変更したりそのメンバーを変更することでアプリケーション・ロールを変更できます。

- 第2.4.4.1項「アプリケーション・ロールの権限付与の追加または削除」

- 第2.4.4.2項「アプリケーション・ロールのメンバーの追加または削除」

注意:

BIConsumer、BIAuthorおよびBIAdministratorという名前のデフォルト・アプリケーション・ロールの権限付与およびメンバーシップは変更しないでください。

アプリケーション・ポリシーおよびアプリケーション・ロールの管理の詳細は、『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』のFusion Middleware Controlを使用したポリシーの管理に関する項を参照してください。

2.4.4.1 アプリケーション・ロールの権限付与の追加または削除

アプリケーション・ロールの権限付与を変更する場合は、この手順を使用します。これは、アプリケーション・ロールが権限受領者であるアプリケーション・ポリシーの権限付与を追加または削除することによって行われます。

アプリケーション・ポリシーの権限付与を追加または削除するには:

1. Fusion Middleware Controlにログインし、「アプリケーション・ポリシー」ページを表示します。
詳細は、第2.4.1項「Fusion Middleware Controlの使用によるアプリケーション・ポリシーおよびアプリケーション・ロールの表示」を参照してください。

obiストライプが事前に選択され、アプリケーション・ポリシーが表示されるかどうかは、「アプリケーション・ポリシー」ページへの移動に使用される方法によって異なります。

2. 必要な場合は、「検索するアプリケーション・ストライプの選択」を選択し、リストから「obi」を選択します。「ロール名」の横にある検索アイコンをクリックします。
Oracle Business Intelligenceアプリケーション・ポリシーが表示されます。「プリンシパル」列に、ポリシー権限受領者の名前が表示されます。

3. 「プリンシパル」列からアプリケーション・ロールを選択し、「編集」をクリックします。

4. 「アプリケーション権限の編集」ビューから権限を追加または削除し、「OK」をクリックして変更を保存します。

2.4.4.2 アプリケーション・ロールのメンバーの追加または削除

Fusion Middleware Controlを使用してアプリケーション・ロールのメンバーを追加または削除できます。これらのタスクは、Oracle Business IntelligenceがインストールされているWebLogicドメイン(bifoundation_domainなど)で実行する必要があります。アプリケーション・ロールの有効なメンバーは、ユーザー、グループまたはその他のアプリケーション・ロールです。アプリケーション・ロールに割り当てられることは、アプリケーション・ロールのメンバーになることです。ベスト・プラクティスは、個々のユーザーではなくグループをアプリケーション・ロールに割り当てることです。

注意:

デフォルト・アプリケーション・ロールの権限付与およびメンバーシップを変更する場合は、十分注意してください。たとえば、BISystemアプリケーション・ロールは、システム通信に必要な権限を提供するため、それに対する変更によってシステムが使用できなくなる可能性があります。

アプリケーション・ロールのメンバーを追加または削除するには:

1. Fusion Middleware Controlにログインし、「アプリケーション・ロール」ページを表示します。
詳細は、第2.4.1項「Fusion Middleware Controlの使用によるアプリケーション・ポリシーおよびアプリケーション・ロールの表示」を参照してください。

obiアプリケーション・ストライプが事前に選択され、アプリケーション・ポリシーが表示されるかどうかは、「アプリケーション・ロール」ページへの移動に使用される方法によって異なります。

2. 必要な場合は、「検索するアプリケーション・ストライプの選択」を選択し、リストから「obi」を選択します。「ロール名」の横にある検索アイコンをクリックします。
Oracle Business Intelligenceアプリケーション・ロールが表示されます。

3. アプリケーション・ロール名の横のセルを選択し、「編集」をクリックして「アプリケーション・ロールの編集」ページを表示します。
「アプリケーション・ロールの編集」ページにメンバーを追加するか、またはこのページからメンバーを削除できます。有効なメンバーは、ロール、グループおよびユーザーです。

4. 「メンバー」で、次のオプションから選択します。

- メンバーを削除する場合: メンバーの「名前」を選択し、「削除」ボタンをアクティブにします。「削除」をクリックします。

- メンバーを追加する場合: 追加するメンバー・タイプに対応する「追加」ボタンをクリックします。「アプリケーション・ロールの追加」、「グループの追加」および「ユーザーの追加」から選択します。

5. メンバーを追加する場合は、「検索」に入力し、使用可能なリストから選択します。シャトル・コントロールを使用して、選択したフィールドにメンバーを移動します。「OK」をクリックします。
たとえば次の図は、Report_Devグループが選択された後の「グループの追加」ダイアログを示しています。

追加したメンバーは、「アプリケーション・ロール」ページで変更されたアプリケーション・ロールに対応する「メンバー」列に表示されます。たとえば次の図は、Report_Devグループが追加された後のMyNewRoleアプリケーション・ロールの「アプリケーション・ロールの編集」ページを示しています。

6. 「アプリケーション・ロールの編集」ページで「OK」をクリックし、「アプリケーション・ロール」ページに戻ります。
アプリケーション・ロールに追加したメンバーが「メンバー」セクションに表示されます。メンバーが削除された場合は表示されなくなります。

次の図は、追加したメンバーであるReport_Devグループが表示されているMyNewRoleアプリケーション・ロールを示しています。

図em_group2role.gifの説明

詳細は、『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』のアプリケーション・ロールの管理に関する項を参照してください。

2.5 Oracle BI管理ツールの使用によるメタデータ・リポジトリ権限の管理

この項では、Oracle BI管理ツールの使用によるOracle BIリポジトリ内のセキュリティの構成方法を説明します。次のトピックがあります:

- 第2.5.1項「概要」

- 第2.5.2項「アプリケーション・ロールのリポジトリ権限の設定」

- 第2.5.3項「高度なセキュリティ構成のトピック」

2.5.1 概要

Oracle BI管理ツールでIdentity Managerを使用して、アプリケーション・ロールの権限を管理し、サブジェクト・エリアや表などのオブジェクトに対するアクセス権限を設定します。Oracle BI管理ツールの使用によるセキュリティの構成についての概要は、第1.6.3項「Oracle BI管理ツールの使用」を参照してください。

注意:

Oracle Business Intelligenceアプリケーションのお客様は、この項を読み、セキュリティおよび認証の設定についての基礎を理解してから、Oracle Fusion Middleware Oracle Business Intelligence Applicationsリファレンス・ガイドに記載されているセキュリティ情報および構成情報を参照してください。

2.5.2 アプリケーション・ロールのリポジトリ権限の設定

デフォルト・アプリケーション・ロール(つまり、BIConsumer、BIAuthorおよびBIAdministrator)は、メタデータ・リポジトリにアクセスするための権限を備えて事前構成されます。新規アプリケーション・ロールを作成する場合は、そのロールがメタデータ・リポジトリにアクセス可能になるように、そのロールに対して適切なリポジトリ権限を設定する必要があります。

注意:

さらに、Oracle BIプレゼンテーション・カタログの権限を新規アプリケーション・ロールに割り当てることができます。詳細は、第2.6.3項「アプリケーション・ロールに対するPresentation Servicesの権限の設定」を参照してください。

アプリケーション・ロールのリポジトリ権限を設定するには:

1. Oracle BI管理ツールでリポジトリを開きます(オンライン・モードで)。
詳細は、第1.6.3項「Oracle BI管理ツールの使用」を参照してください。

2. 「プレゼンテーション」パネルで、権限を設定するサブジェクト・エリアまたはサブフォルダに移動します。

3. サブジェクト・エリアまたはサブフォルダを右クリックし、「プロパティ」を選択してプロパティ・ダイアログを表示します。
たとえば、「ペイント」サブジェクト・エリアへのアクセス権を提供するには、「ペイント」を右クリックします。

4. 「権限」をクリックして、「権限<名前>」ダイアログを表示します。

注意:

「すべてのユーザー/アプリケーション・ロールの表示」チェック・ボックスが選択されていることを確認してください。

5. 「権限<名前>」ダイアログを使用して、「ユーザー/アプリケーション・ロール」リスト内のアプリケーション・ロールのセキュリティ権限を変更します。
たとえば、ユーザーにダッシュボードおよびレポートの作成を可能にするために、BISalesAnalysisという名前のアプリケーション・ロールのリポジトリ権限を読取りから読取り/書込みに変更できます。

注意:

ベスト・プラクティスは、個々のユーザーの権限ではなく、アプリケーション・ロールの権限を変更することです。

ヒント:

「プレゼンテーション」ペイン内のあるオブジェクトのすべての権限を表示するには、そのオブジェクトを右クリックし、「権限レポート」を選択して、ユーザーおよびアプリケーション・ロールのリスト、および選択したオブジェクトに対してそれが保持している権限を表示します。

2.5.3 高度なセキュリティ構成のトピック

この項には高度なトピックが含まれています。

2.5.3.1 メタデータ・リポジトリ内のアプリケーション・ロールの管理について

アプリケーション・ロールの定義はポリシー・ストアで保持されます。また、変更は管理インタフェースを使用して行う必要があります。リポジトリは、ポリシー・ストア・データのコピーを保持して、リポジトリ開発を促進します。Oracle BI管理ツールでは、リポジトリのコピーからアプリケーション・ロール・データが表示され、ポリシー・ストア・データはリアルタイムでは表示されません。オフライン・リポジトリの作業中にポリシー・ストアを変更すると、ポリシー・ストアがリポジトリと次に同期化するまで、管理ツールで使用できなくなります。ポリシー・ストアは、BIサーバーの再起動時には常にデータをリポジトリ・コピーと同期化します。データに不一致がある場合は、エラー・メッセージが表示されます。

オフライン・モードでのリポジトリの使用中に、使用可能なアプリケーション・ロールではその時点で必要なメンバーシップまたは権限付与を満たさないことに気付く場合があります。オフライン・リポジトリ開発を促進するために、アプリケーション・ロールのプレースホルダの定義を管理ツールで作成できます。しかし、これは管理ツールで表示可能な単なるプレースホルダであり、実際のアプリケーション・ロールではありません。管理ツールで実際のアプリケーション・ロールを作成することはできません。アプリケーション・ロールは、ポリシー・ストアの管理に使用可能な管理インタフェースを使用して、ポリシー・ストアでのみ作成できます。

アプリケーション・ロールは、リポジトリがオンラインに戻る前に、管理ツールを使用して作成されたアプリケーション・ロール・プレースホルダごとに、ポリシー・ストアで定義される必要があります。オフライン・モードの間に作成されたロール・プレースホルダ付きリポジトリの場合、有効なアプリケーション・ロールがポリシー・ストアに作成される前に、オンラインになります。その後、そのアプリケーション・ロール・プレースホルダは管理ツール・インタフェースで表示されなくなります。オフライン・リポジトリ開発でロール・プレースホルダを使用する際は、リポジトリをオンラインに戻す前に、ポリシー・ストアにおいて対応するアプリケーション・ロールを必ず作成します。

リポジトリ開発時のアプリケーション・ロール用プレースホルダの作成方法の詳細は、『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionメタデータ・リポジトリ作成者ガイド』を参照してください。

2.6 アプリケーション・ロールの使用によるPresentation Servicesの権限の管理

この項では、Presentation Services管理の「権限の管理」ページでアプリケーション・ロールを使用してPresentation Servicesの権限を管理する方法について説明します。次のトピックがあります。

- 第2.6.1項「概要」

- 第2.6.2項「Presentation Servicesの権限について」

- 第2.6.3項「アプリケーション・ロールに対するPresentation Servicesの権限の設定」

- 第2.6.4項「高度なセキュリティ構成のトピック」

2.6.1 概要

Presentation Servicesに保持されている権限は、分析の作成やダッシュボードなどの機能へのアクセス権を制御します。Oracle Business Intelligenceのデフォルトのアプリケーション・ロール(BIAdministrator、BIAuthor、BIConsumer)は、Oracle Business Intelligenceのアプリケーション・ポリシー権限に加えて、インストール中にこれらの権限とともに自動的に構成されます。

前のリリースからアップグレードされたシステムは、引き続きカタログ・グループを使用してこれらの権限を付与できますが、これはお薦めしません。ベスト・プラクティスは、アプリケーション・ロールの使用による権限の管理であり、それによってセキュリティ管理プロセスが合理化されます。たとえば、システム全体でアプリケーション・ロールの同一セットを使用すると、システムでカタログ・グループおよびメンバー・リストの別個のセットを管理する必要がなくなります。アップグレードしたカタログ・グループを引き続き使用してPresentation Servicesの権限を管理する方法の詳細は、第A.2.1項「Presentation Servicesのセキュリティに影響する変更」を参照してください。

注意:

カタログ・グループのメンバーとなるようにアプリケーション・ロールを割り当てると、複雑なグループ継承およびメンテナンス状況が発生するため、お薦めできません。

グループがアプリケーション・ロールに割り当てられる場合、グループ・メンバーは、関連付けられたPresentation Servicesの権限を自動的に付与されます。これは、Oracle Business Intelligence権限のほかに付与されます。

ヒント:

ユーザーがメンバーとなっているアプリケーション・ロールのリストは、プレゼンテーション・サービスの「マイ・アカウント」ダイアログの「ロールおよびグループ」タブから利用可能です。

2.6.2 Presentation Servicesの権限について

Presentation Servicesの権限はPresentation Services管理の「権限の管理」ページに保持され、分析の作成やダッシュボードなどのPresentation Services機能へのアクセス権を付与または拒否します。Presentation Servicesの権限は他のOracle Business Intelligenceコンポーネントには影響しません。

デフォルトのアプリケーション・ロールに割り当てられたグループのメンバーになると、第B.4.1.3項「デフォルトのアプリケーション・ロール、権限付与およびグループ・マッピング」で説明したOracle Business Intelligenceの権限に加えて、Presentation Servicesの権限が付与されます。デフォルトのアプリケーション・ロールによって付与されたPresentation Servicesの権限は、Presentation Services管理の「権限の管理」ページを使用して、デフォルトの権限付与を追加または削除することで変更できます。

新規カタログが作成されると必ず、デフォルトのアプリケーション・ロールがPresentation Servicesの権限マッピングに読み込まれます。デフォルトのマッピングを変更していて、デフォルトのアソシエーションを表示する場合、カタログが存在していないファイル場所を指定することで新規カタログを作成します。プレゼンテーション・サービスが起動すると、初期化プロセスの一部としてカタログが作成されます。

プレゼンテーション・サービス権限は、明示的におよび継承によってユーザーに付与できます。ただし、明示的なプレゼンテーション・サービス権限の拒否は、グループまたはアプリケーション・ロール階層の結果として、付与されるか継承されるユーザー・アクセス権限よりも優先されます。

2.6.3 アプリケーション・ロールに対するPresentation Servicesの権限の設定

アプリケーション・ロールを作成する場合、そのアプリケーション・ロールでユーザーが様々な機能タスクを実行できるように、適切なPresentation Servicesの権限を設定する必要があります。たとえば、BISalesAdministratorという名前のアプリケーション・ロールを保持したユーザーが、Oracle Business Intelligenceでアクションを作成できるようにします。この場合は、「起動アクションの作成」という名前の権限を付与します。

ポリシー・ストアの管理に使用する管理インタフェースを使用して、Presentation Servicesの権限を割り当てることはできません。新規アプリケーション・ロールを作成し、Oracle Business Intelligenceの権限を付与する場合、Oracle Business Intelligenceの権限に加えて、その新規ロールにPresentation Servicesの権限を設定する必要があります。

注意:

Presentation Servicesの権限は、SecurityServiceサービスを使用して新規アプリケーション・ロールにプログラム的に割り当てることができます。詳細は、『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionインテグレーターズ・ガイド』のSecurityServiceサービスに関する項を参照してください。

アプリケーション・ロールに対するPresentation Servicesの権限を設定するには:

1. 管理者権限のあるユーザーとしてOracle BIプレゼンテーション・サービスにログインします。
詳細は、第1.6.4項「プレゼンテーション・サービス管理の使用」を参照してください。

2. プレゼンテーション・サービスの「ホーム」ページで「管理」を選択します。
図biadmin_admin_nav.gifの説明

注意:

管理者権限がないユーザーとしてログインする場合、「管理」オプションは表示されません。

図biadmin_security.gifの説明

3. 「セキュリティ」領域で「権限の管理」をクリックし、「権限の管理」ページを表示します。
このページでは、Presentation Servicesの権限に対するアプリケーション・ロールを確認できます。

図biadmin_pspriv.gifの説明

4. 管理する権限の横のアプリケーション・ロールをクリックします。
たとえば、BIConsumerという名前のアプリケーション・ロールに対して、Access to Scorecardという名前の権限を管理するには、Access to Scorecardの横の「BIConsumer」リンクをクリックします。

図admin_per6.gifの説明

「権限<権限名>」ダイアログを使用してアプリケーション・ロールを権限リストに追加し、アプリケーション・ロールに権限を付与したりアプリケーション・ロールから権限を取り消したりします。たとえば、選択した権限をアプリケーション・ロールに付与するには、アプリケーション・ロールを「権限」リストに追加する必要があります。

5. 次のようにアプリケーション・ロールを「権限」リストに追加します。

1. 「ユーザー/ロールの追加」をクリックします。

2. リストから「アプリケーション・ロール」を選択し、「検索」をクリックします。

3. 結果リストからアプリケーション・ロールを選択します。

4. シャトル・コントロールを使用して、アプリケーション・ロールを「選択済メンバー」リストに移動します。

5. 「OK」をクリックします。

6. 「権限」リストで「権限付与」または「拒否」を選択することで、アプリケーション・ロールの権限を設定します。

注意:

Presentation Servicesの権限を明示的に拒否することは、グループまたはアプリケーション・ロール階層の結果として付与または継承されたユーザー・アクセス権より優先されます。

7. 変更内容を保存します。

注意:

既存のカタログ・グループは、アップグレード・プロセスの間に移行されます。既存のプレゼンテーション・サービス・カタログ・セキュリティ構成をロールベースのOracle Fusion Middlewareセキュリティ・モデル・ベースに移行する場合は、各カタログ・グループを対応するアプリケーション・ロールと置き換える必要があります。既存のプレゼンテーション・サービス構成を複製するには、各カタログ・グループを、同じプレゼンテーション・サービス・カタログ権限を付与する対応するアプリケーション・ロールと置き換えます。その後、プレゼンテーション・サービスから元のカタログ・グループを削除できます。

2.6.4 高度なセキュリティ構成のトピック

この項には高度なトピックが含まれています。

2.6.4.1 BIプレゼンテーション・サービスでの暗号化について

BIサーバーおよびプレゼンテーション・サービスのクライアントは、ログインおよびパスワード暗号化について業界標準のセキュリティをサポートしています。エンド・ユーザーがWebブラウザにユーザー名およびパスワードを入力すると、BIサーバーはHypertext Transport Protocol Secure (HTTPS)規格を使用して、情報をセキュアなOracle BIプレゼンテーション・サービス・ポートに送信します。情報はOracle BIプレゼンテーション・サービスからトリプルDES(データ暗号化規格)を使用して、ODBCを介してBIサーバーに渡されます。これにより、高度なセキュリティが(168ビット)が実現し、認可されていないユーザーがデータにもOracle Business Intelligenceメタデータにもアクセスできないようになります。

データベース・レベルでは、Oracle Business Intelligence管理ユーザーがデータベース・セキュリティおよび認証を実装します。最後に、固有キーベースの暗号化によってセキュリティを提供し、未認可ユーザーがメタデータ・リポジトリにアクセスできないようにします。

2.7 Oracle BI Publisherの使用によるデータ・ソース・アクセスの権限の管理

この項では、Oracle BI Publisherの管理ページを使用して、Oracle BI Publisherに保持されているデータ・ソース・アクセスの権限を管理する方法について説明します。データ・ソース・アクセスの権限では、データ・ソースへのアプリケーション・ロールによるアクセスが制御されます。ユーザーが次のタスクを実行するには、そのユーザーに、特定のデータ・ソース・アクセスの権限が付与されたアプリケーション・ロールが割り当てられる必要があります。

- データ・ソースに対するデータ・モデルを作成する。

- データ・ソースに対するデータ・モデルを編集する。

- データ・ソースから構築されたデータ・モデルを使用して作成されたレポートを表示する。

公開されたレポートのデータ・ソース・セキュリティの詳細は、Oracle Fusion Middleware Oracle Business Intelligence管理者および開発者ガイドのデータ・ソースへのアクセス権の付与に関する項を参照してください。

2.8 デフォルトの組込みOracle WebLogic Server LDAPアイデンティティ・ストアの高可用性の有効化

クラスタ環境で、デフォルトの組込みOracle WebLogic Server LDAPアイデンティティ・ストアの高可用性を有効にするには、virtualize属性を構成します。virtualizeの属性値をtrueに設定すると、管理対象サーバーは、デフォルトの組込みOracle WebLogic Server LDAPアイデンティティ・ストアのコピーを使用できます。

デフォルトの組込みOracle WebLogic Server LDAPアイデンティティ・ストアの高可用性を有効にするようvirtualize属性を構成するには:

1. Fusion Middleware Controlにログインします。
詳細は、第1.6.2項「Oracle Fusion Middleware Controlの使用」を参照してください。

2. ナビゲーション・ペインから「WebLogicドメイン」フォルダを展開し、「bifoundation_domain」を選択します。

3. 「bifoundation_domain」を右クリックして「セキュリティ」→「セキュリティ・プロバイダ構成」を選択し、「セキュリティ・プロバイダ構成」ページを表示します。

4. 「アイデンティティ・ストア・プロバイダ」領域で「構成」をクリックし、「アイデンティティ・ストア構成」ページを表示します。

5. 「カスタム・プロパティ」領域で「追加」オプションを使用し、virtualizeというカスタム・プロパティを追加します。
図2-9は、値がtrueに設定されたvirtualizeという新しいプロパティを含む、一連のカスタム・プロパティの例を示しています。

図2-9 「アイデンティティ・ストア構成」ページで表示される新規カスタム・プロパティ

6. 「OK」をクリックして、変更を保存します。

7. 管理サーバー、管理対象サーバーおよびOracle BIコンポーネントを再起動します。

3 代替認証プロバイダの使用

この章では、デフォルトのOracle WebLogic Server LDAPディレクトリではなく代替ディレクトリ・サーバーを認証に使用するように、Oracle Business Intelligenceを構成する方法を説明します。また、Oracle Internet Directory、Active Directoryおよびその他の認証プロバイダを使用するようにOracle Business Intelligenceを設定する方法や、OID LDAPをポリシー・ストアおよび資格証明ストアとして使用する方法についても説明します。

注意:

セキュリティ設定手順の詳細なリストは、第1.7項「Oracle Business Intelligenceのセキュリティを設定するための詳細な手順」を参照してください。

この章には次の項が含まれます:

- 第3.1項「概要」

- 第3.2項「代替認証プロバイダを構成するための大まかな手順」

- 第3.3項「代替認証プロバイダを使用するための前提条件」

- 第3.4項「代替認証プロバイダの構成」

- 第3.5項「アイデンティティ・ストアでのユーザーおよびグループ名属性の構成」

- 第3.6項「アイデンティティ・ストアでのGUID属性の構成」

- 第3.7項「新しい信頼できるユーザー(BISystemUser)の構成」

- 第3.8項「ユーザーGUIDのリフレッシュ」

- 第3.9項「ポリシー・ストアおよび資格証明ストアとしてのOracle Internet Directoryの構成」

3.1 概要

代替認証プロバイダを使用する場合、通常はプロバイダ・ベンダーが提供する管理ツールを使用してユーザーおよびグループを設定します。その後、これらのユーザーおよびグループを、事前定義済のアプリケーション・ロール(BIConsumer、BIAuthors、BIAdministratorなど)や作成した任意のアプリケーション・ロールに割り当てることができます。アプリケーション・ロールへのユーザーおよびグループの割当ての詳細は、第2.4項「Fusion Middleware Controlの使用によるアプリケーション・ロールおよびアプリケーション・ポリシーの管理」を参照してください。

セキュリティ・モデルのその他の領域を管理するには、引き続き、他のOracle Business Intelligenceツール(Oracle BI管理ツール、Fusion Middleware Control、プレゼンテーション・サービスの「管理」ページなど)を使用します。

現在サポートされている、Oracle Business Intelligenceで使用できる認証プロバイダおよびディレクトリ・サーバーのリストを表示するには、「新しい認証プロバイダの作成」ページの「タイプ」リストで認証プロバイダを選択します。詳細は、「システム要件と動作要件」を参照してください。

サポートされている認証プロバイダを複数構成できます。詳細は、第3.4.5項「Fusion Middleware Controlの使用による複数の認証プロバイダの構成」を参照してください。

デフォルトのWebLogic LDAPサーバー以外のディレクトリ・サーバーを使用している場合は、Oracle WebLogic Server管理コンソールに、他のディレクトリ・サーバーのユーザーおよびグループを表示できます。ただし、使用しているディレクトリ・サーバーのインタフェースでユーザーおよびグループを管理する必要があります。たとえば、Oracle Internet Directory (OID LDAP)を使用している場合、OIDコンソールを使用して、ユーザーおよびグループの作成と編集を行う必要があります。

3.2 代替認証プロバイダを構成するための大まかな手順

代替認証プロバイダを構成するには:

前提条件: 管理サーバーのみ稼動していることを確認します。

1. 第3.3項「代替認証プロバイダを使用するための前提条件」の説明に従って、Oracle Business Intelligenceを有効にして代替認証プロバイダを使用するよう、グループおよびユーザーを設定および構成します。

2. 第3.4項「代替認証プロバイダの構成」の説明に従って、認証プロバイダを使用するよう、Oracle Business Intelligenceを構成します。

3. 第3.5項「アイデンティティ・ストアでのユーザーおよびグループ名属性の構成」の説明に従って、認証プロバイダのユーザー名属性と一致するように、アイデンティティ・ストアのユーザー名属性を構成します。

4. myrealmの「ユーザーとグループ」タブに移動し、代替認証プロバイダのユーザーおよびグループが正しく表示されていることを確認します。ユーザーおよびグループが正しく表示されていたら、ステップ5に進みます。正しく表示されていない場合は、構成を設定しなおし、再度表示を試みます。

5. 第3.7項「新しい信頼できるユーザー(BISystemUser)の構成」の説明に従って、代替認証プロバイダのユーザーの新しい信頼できるユーザー・アカウントを、DefaultAuthenticatorのアカウントに一致するように構成します。

6. 第3.8項「ユーザーGUIDのリフレッシュ」の説明に従って、ユーザーGUIDを代替認証プロバイダでの値に更新します。

7. Fusion Middleware Controlを使用して、アプリケーション・ロールを新しいアイデンティティ・ストアの適切なグループ(エンタープライズ・ロール)に割り当てます。
詳細は、第2.4.4.2項「アプリケーション・ロールのメンバーの追加または削除」を参照してください。

3.3 代替認証プロバイダを使用するための前提条件

代替認証プロバイダを使用するようにOracle Business Intelligenceインストールを構成する前に、代替認証プロバイダにグループおよびユーザーが存在し、これらが正しく構成されていることを確認する必要があります。これで、Oracle Business Intelligenceインストールにすでに存在している、対応するracle Business Intelligenceアプリケーション・ロールに、これらを関連付けることができます。

代替認証プロバイダでユーザーおよびグループを設定するには:

1. 代替認証プロバイダでグループを作成します。これらは、既存のOracle Business Intelligenceアプリケーション・ロールに割り当てることができます。例:

BIAdministrators、BISystemUsers、BIAuthors、BIConsumers

2. 代替認証プロバイダで、ステップ1で作成したグループに対応するユーザーを作成します。例:
BIADMIN、BISYSTEM、BIAUTHOR、BICONSUMER。

3. 代替認証プロバイダで、ユーザーをそれぞれのグループに割り当てます。
たとえば、BIADMINユーザーをBIAdministratorsグループに、BISYSTEMユーザーをBISystemUsersグループに割り当てます。

4. 代替認証プロバイダで、BIAuthorsグループをBIConsumersグループの一部にします。
このグループ化により、BIAuthorsはBIConsumersの権限を継承できます。

3.4 代替認証プロバイダの構成

次の手順では、デフォルトのOracle WebLogic Server LDAPディレクトリではなく、1つ以上の認証プロバイダを構成する方法を説明します。

- 第3.4.1項「認証プロバイダとしてのOracle Internet Directoryの構成」

- 第3.4.2項「認証プロバイダとしてのActive Directoryの構成」

- 第3.4.3項「認証プロバイダとしてのデータベースの構成」

- 第3.4.4項「認証プロバイダとしてのLDAPの構成とデータベースへのグループの格納」

- 第3.4.5項「Fusion Middleware Controlの使用による複数の認証プロバイダの構成」

- 第3.4.6項「JAAS制御フラグ・オプションの設定」

- 第3.4.7項「認証プロバイダとしての単一のLDAP認証プロバイダの構成」

注意:

この項では特定の認証プロバイダの設定について説明します。ただし、ここに示す手順は、他の認証プロバイダに対する一般的なガイドとしても使用できます。

3.4.1 認証プロバイダとしてのOracle Internet Directoryの構成

この手順では、Oracle Internet Directory (OID LDAP)を使用するよう、Oracle Business Intelligenceインストールを再構成する方法を示します。

認証プロバイダとしてOID LDAPを構成するには:

1. Oracle WebLogic Server管理コンソールにログインし、「チェンジ・センター」で「ロックして編集」をクリックします。
詳細は、第1.6.1項「Oracle WebLogic Server管理コンソールの使用」を参照してください。

図wls01.gifの説明

2. 左ペインで「セキュリティ・レルム」を選択し、「myrealm」をクリックします。
デフォルトのセキュリティ・レルムはmyrealmという名前です。

3. 「プロバイダ」タブを表示し、「認証」サブタブを表示します。
図wls03.gifの説明

4. 「新規」をクリックし、「新しい認証プロバイダの作成」ページを起動します。
図wls04.gifの説明

5. 「新しい認証プロバイダの作成」ページで、次のように値を入力します。

- 名前: 認証プロバイダの名前を入力します。例: MyOIDDirectory。

- タイプ: リストから、「OracleInternetDirectoryAuthenticator」を選択します。

- 「OK」をクリックし、変更を保存して、新しい認証プロバイダで更新された認証プロバイダ・リストを表示します。
図wls07.gifの説明

6. 「認証プロバイダ」表の「名前」列で「MyOIDDirectory」をクリックし、「設定」ページを表示します。
図wls08.gifの説明

7. 「構成」→「共通」タブを表示し、「制御フラグ」リストで「SUFFICIENT」を選択して「保存」をクリックします。

詳細は、第3.4.6項「JAAS制御フラグ・オプションの設定」を参照してください。

図wls05.gifの説明

8. 「プロバイダ固有」タブを表示します。
図wls09.gifの説明

9. 「プロバイダ固有」タブを使用して、次の値を指定します。

セクション名

フィールド名

説明

接続

ホスト

Oracle Internet Directoryサーバーのホスト名。

接続

ポート

Oracle Internet Directoryサーバーがリスニングしているポート番号。

接続

プリンシパル

Oracle Internet Directoryサーバーへの接続に使用されるOracle Internet Directoryユーザーの識別名(DN)。例: cn=OIDUser、cn=users、dc=us、dc=mycompany、dc=com。

接続

資格証明

プリンシパルとして入力されたOracle Internet Directoryユーザーのパスワード。

グループ

グループ・ベースDN

グループを含むOracle Internet Directoryサーバー・ツリーのベース識別名(DN)。

ユーザー

ユーザー・ベースDN

ユーザーを含むOracle Internet Directoryサーバー・ツリーのベース識別名(DN)。

ユーザー

すべてのユーザーのフィルタ

LDAP検索フィルタ。詳細は、「詳細」をクリックします。

ユーザー

名前指定によるユーザー・フィルタ

LDAP検索フィルタ。詳細は、「詳細」をクリックします。

ユーザー

ユーザー名属性

認証に使用する属性(cn、uid、mailなど)。たとえば、ユーザーの電子メール・アドレスを使用して認証を行うには、この値をmailに設定します。

注意: 次のタスク、第3.5.1項「アイデンティティ・ストアでのユーザー名属性の構成」の説明のとおり、ここで指定する値は、認証プロバイダで使用しているユーザー名属性と一致する必要があります。

一般

GUID属性

OID LDAPでオブジェクトGUIDの定義に使用する属性。

orclguid

注意: 通常は、このデフォルト値を変更しないでください。変更する場合は、Fusion Middleware Controlでも、第3.6項「アイデンティティ・ストアでのGUID属性の構成」タスクで説明しているとおり、変更した値を指定する必要があります。

図3-1は、「プロバイダ固有」タブのユーザー領域を示しています。

図3-1 「プロバイダ固有」タブ: ユーザー領域

「図3-1 「プロバイダ固有」タブ: ユーザー領域」の説明

Oracle WebLogic Serverでの認証プロバイダの構成の詳細は、『Oracle Fusion Middleware Oracle WebLogic Serverの保護』を参照してください。

10. 「保存」をクリックします。

11. 次の手順を実行し、DefaultAuthenticatorの「制御フラグ」を設定します。

1. メインの「myrealmの設定」ページで、「プロバイダ」タブ→「認証」サブタブを表示し、「DefaultAuthenticator」を選択して、その構成ページを表示します。

2. 「構成」→「共通」タブを表示し、「制御フラグ」リストで「SUFFICIENT」を選択します。
詳細は、第3.4.6項「JAAS制御フラグ・オプションの設定」を参照してください。

3. 「保存」をクリックします。

12. 次の手順に従ってプロバイダを並べ替えます。

1. メインの「myrealmの設定」ページで「プロバイダ」タブを表示し、「認証」サブタブを表示します。
図wls07.gifの説明

2. 「並替え」をクリックし、「認証プロバイダの並替え」ページを表示します。

3. 「MyOIDDirectory」を選択し、矢印ボタンを使用してこれをリストの最初に移動し、「OK」をクリックします。
図wls11.gifの説明

4. 「OK」をクリックして変更内容を保存します。
並べ替えた順序で認証プロバイダが表示されます。

図oid23_crop.gifの説明

13. 「保存」をクリックします。

14. チェンジ・センターで、変更のアクティブ化をクリックします。

15. Oracle WebLogic Serverを再起動します。

3.4.2 認証プロバイダとしてのActive Directoryの構成

この手順は、Active Directoryを使用するようにOracle Business Intelligenceインストールを構成する方法を示します。

この項のデータ例では、内部ユーザー用にOracle Business IntelligenceのWNA SSOを設定するXYZ Corporationという架空の企業を使用します。

この例では、次の情報が使用されます。

- Active Directoryドメイン
XYZ Corporationには、xyzcorp.comというActive Directoryドメインがあり、このドメインはすべての内部ユーザーを認証します。Windowsコンピュータからこの企業ネットワークにログインすると、ログイン先はこのActive Directoryドメインになります。ドメイン・コントローラはaddc.xyzcor.copで、これによってActive Directoryドメインが制御されます。

- Oracle BI EE WebLogicドメイン
XYZ Corporationでは、bieesvr1.xyz2.comというネットワーク・サーバー・ドメインに、bifoundation_domain(デフォルト名)というWebLogicドメインがインストールされています。

- システム管理者およびテスト・ユーザー
次のシステム管理者およびドメイン・ユーザーが構成のテストを行います。

- システム管理者ユーザー
Jo Smith (login=jsmith、hostname=xyz1.xyzcorp.com)

- ドメイン・ユーザー
Bob Jones (login=bjones hostname=xyz47.xyzcorp.com)

認証プロバイダとしてActive Directoryを構成するには:

1. Oracle WebLogic Server管理コンソールにログインし、「チェンジ・センター」で「ロックして編集」をクリックします。
詳細は、第1.6.1項「Oracle WebLogic Server管理コンソールの使用」を参照してください。

図wls01.gifの説明

2. 左ペインで「セキュリティ・レルム」を選択し、「myrealm」をクリックします。
デフォルトのセキュリティ・レルムはmyrealmという名前です。

3. 「プロバイダ」タブを表示し、「認証」サブタブを表示します。
図wls03.gifの説明

4. 「新規」をクリックし、「新しい認証プロバイダの作成」ページを起動します。

5. 「新しい認証プロバイダの作成」ページで、次のように値を入力します。

- 名前: 認証プロバイダの名前を入力します。例: ADAuthenticator。

- タイプ: リストから、「ActiveDirectoryAuthenticator」を選択します。

- 「OK」をクリックし、変更を保存して、新しい認証プロバイダで更新された認証プロバイダ・リストを表示します。

6. 「名前」列で「DefaultAuthenticator」をクリックし、「設定」ページを表示します。

7. 「共通認証プロバイダ設定」ページで、「制御フラグ」を「REQUIRED」から「SUFFICIENT」に変更し、「保存」をクリックします。
詳細は、第3.4.6項「JAAS制御フラグ・オプションの設定」を参照してください。

8. 認証プロバイダの表の「名前」列で「ADDirectory」をクリックし、「設定」ページを表示します。

9. 「構成」→「共通」タブを表示し、「制御フラグ」リストで「SUFFICIENT」を選択して「保存」をクリックします。

10. 「プロバイダ固有」タブを表示し、Active Directory LDAP認証ストアへの接続に適用するオプションにアクセスします。

11. 「プロバイダ固有」タブを使用して、次の値を指定します。

セクション名

フィールド名

説明

接続

ホスト

Active Directoryサーバーaddc.xyzcorp.comの名前。

接続

ポート

Active Directoryサーバーがリスニングしているポート番号(389)。

接続

プリンシパル

LDAPユーザーの情報を取得する際、Active Directoryに接続するユーザーのLDAP DN。例: cn=jsmith、cn=users、dc=us、dc=xyzcorp、dc=com。

接続

資格証明/資格証明の確認

プリンシパルのパスワード(welcome1など)。

グループ

グループ・ベースDN

AD内でグループの検索に使用するLDAP問合せ。

注意: このパスの下に定義されているグループのみをWebLogicに表示できます。

(CN=Builtin、DC=xyzcorp、DC=com)

ユーザー

ユーザー・ベースDN

AD内でユーザーの検索に使用するLDAP問合せ。CN=Users、DC=xyzcorp、DC=com

ユーザー

ユーザー名属性

AD内でユーザー名の指定に使用する属性。デフォルト値はcnです。

ユーザー名に別の属性を使用するようにActive Directoryが構成されていることがわかっている場合以外は、この値を変更しないでください。変更する場合は、第3.5.1項「アイデンティティ・ストアでのユーザー名属性の構成」を参照してください。

ユーザー

すべてのユーザーのフィルタ

LDAP検索フィルタ。詳細は、「詳細」をクリックします。

ユーザー

名前指定によるユーザー・フィルタ

LDAP検索フィルタ。詳細は、「詳細」をクリックします。

ユーザー

ユーザー・オブジェクト・クラス

ユーザーの名前。

一般

GUID属性

AD内でオブジェクトGUIDの定義に使用する属性。

objectguid

注意: 通常は、このデフォルト値を変更しないでください。変更する場合は、Fusion Middleware Controlでも、第3.6項「アイデンティティ・ストアでのGUID属性の構成」タスクで説明しているとおり、変更した値を指定する必要があります。

Oracle WebLogic Serverでの認証プロバイダの構成の詳細は、『Oracle Fusion Middleware Oracle WebLogic Serverの保護』を参照してください。

12. 「保存」をクリックします。

13. メインの「myrealmの設定」ページで「プロバイダ」タブを表示し、「認証」サブタブを表示します。

14. 「並替え」をクリックし、「認証プロバイダの並替え」ページを表示します。

15. 「ADDirectory」を選択し、矢印ボタンを使用してこれをリストの最初に移動し、「OK」をクリックします。

16. チェンジ・センターで、変更のアクティブ化をクリックします。

17. Oracle WebLogic Serverを再起動します。

3.4.3 認証プロバイダとしてのデータベースの構成

この項では、SQLAuthenticatorおよび仮想アイデンティティ・ストア・データベース・アダプタを使用することで、データベースを認証プロバイダとして使用するようにOracle Business Intelligenceを構成する方法について説明します。この項の内容は次のとおりです。

- 第3.4.3.1項「概要と前提条件」

- 第3.4.3.2項「ユーザーおよびグループのサンプル・スキーマの作成」

- 第3.4.3.3項「Oracle WebLogic Server管理コンソールの使用によるデータ・ソースとSQL認証プロバイダの構成」

- 第3.4.3.4項「仮想アイデンティティ・ストアの構成」

- 第3.4.3.5項「SQL認証プロバイダのトラブルシューティング」

- 第3.4.3.6項「アダプタの削除および再作成によるデータベース・アダプタ・エラーの修正」

3.4.3.1 概要と前提条件

複数のアイデンティティ・ストアを構成し、仮想化を使用することで、ユーザー・ロールとプロファイル情報を異なるアイデンティティ・ストア(LDAPやデータベース・アイデンティティ・ストアなど)に分散できます。

ユーザー・ロールとプロファイル情報は、データベースをLDAPサーバーのように表示できるアダプタを使用してデータベースに格納できます。仮想アイデンティティ・ストア・プロバイダは、このデータベース・アダプタを介してユーザー・プロファイル情報をデータベースから取得できます。

ここで説明するデータベース認証の方法は、リリース11.1.1.5 (またはそれ以降)でのみ使用可能です。それ以前のリリースでは初期化ブロックを使用する必要があります。

このトピックでは、SQLAuthenticatorおよび仮想アイデンティティ・ストア・プロバイダ(データベース・アダプタを含む)を使用するようにOracle Business Intelligenceを構成する方法について説明します。両方とも適切なデータベース・スキーマに対して実行します。ここに示す例は説明のためのものであり、実際のデータベース・スキーマに、ここで説明するサンプルと同じ値を指定してはいけません。

この手順は、ユーザーをデータベース・スキーマに対して認証する必要がある場合に使用します。認証に優先されるアイデンティティ・ストアは、Oracle Internet Directory (OID LDAP)などのLDAPディレクトリ・サービスです。

ここで説明するデータベース認証のアプローチには、それぞれにユーザーおよびパスワードを格納する2つのデータベース列が必要です。データベース・ユーザー・アカウントには基づきません。

Oracle Business Intelligence Enterprise Editionリリース11.1.1.5.0 (またはそれ以降)がインストールされ、稼動している必要があります。

3.4.3.2 ユーザーおよびグループのサンプル・スキーマの作成

実際には、以前のOracle BI EEインストールで使用しているユーザー独自のスキーマを使用することになります。ここで説明するサンプル・スキーマは意図的に単純化されており、スキーマを使用するようシステムを構成する方法についてのみ説明します。

注意:

認証に必要なユーザー、資格証明およびグループを含むデータベース・スキーマは、Oracle BI EEが稼動するWebLogic Serverからアクセスできる必要があります。

図3-2には、USER、GROUPおよびUSER_GROUPの各表が記載されており、USER_GROUPは他の2つの表を結合します。

図3-2 ユーザーおよびグループのサンプル・スキーマ

USER、USER_GROUPまたはGROUPのいずれかの情報が複数の表に存在する場合は、各タイプの情報を格納する表に対してビューを作成する必要があります。これにより、ビューをデータベース・アダプタに渡すことができます(第3.4.3.3.2項で構成)。

3.4.3.3 Oracle WebLogic Server管理コンソールの使用によるデータ・ソースとSQL認証プロバイダの構成

Oracle WebLogic Server管理コンソールを使用して、データ・ソースとSQL認証プロバイダを次のように構成します。

- 第3.4.3.3.1項「Oracle WebLogic Server管理コンソールの使用によるデータ・ソースの構成」

- 第3.4.3.3.2項「Oracle WebLogic Server管理コンソールの使用によるSQL認証プロバイダの構成」

3.4.3.3.1 Oracle WebLogic Server管理コンソールの使用によるデータ・ソースの構成

Oracle WebLogic Server管理コンソールを使用してデータ・ソースを構成するには:

1. Oracle WebLogic Server管理コンソールにログインし、「チェンジ・センター」で「ロックして編集」をクリックします。
詳細は、第1.6.1項「Oracle WebLogic Server管理コンソールの使用」を参照してください。

2. 左ペインで「サービス」をクリックし、「データ・ソース」をクリックします。

3. データ・ソースの概要ページで「新規」をクリックし、「汎用データ・ソース」を選択します。

4. 「JDBCデータ・ソースのプロパティ」ページで、次のプロパティの値を入力または選択します。

- 名前: たとえば、UserGroupDSと入力します。
基礎となる構成ファイル(config.xml)および管理コンソール全体で、このデータ・ソースを参照するときに必ず使用される名前。

- JNDI名: たとえば、jdbc/User GroupDSと入力します。
このJDBCデータ・ソースのバインド先のJNDIパス。

- データベース・タイプ: たとえば、「Oracle」を選択します。
接続先のデータベースのDBMS。

5. 「次へ」をクリックします。

6. 「データベース・ドライバ」ドロップダウン・リストからデータベース・ドライバを選択します。
たとえば、Oracleのサービス接続用ドライバ(Thin)、バージョン9.0.1以降を選択します。

7. 「次へ」をクリックします。

8. 「次へ」をクリックします。

9. 「 接続プロパティ 」ページで、次のプロパティの値を入力します。

- データベース名: たとえば、ora11gと入力します。
接続先のデータベースの名前。

- ホスト名: たとえば、mymachine.mycompany.comと入力します。
データベースのホストとなるサーバーのDNS名またはIPアドレス。

- Port: たとえば、1521と入力します。
データベース・サーバーが接続リクエストをリスニングするポート。

- データベース・ユーザー名
一般には、第3.4.3.2項で定義される表のスキーマ所有者。

- 「パスワード」/「パスワードの確認」
「データベース・ユーザー名」用のデータベース・パスワード。

10. 「次へ」をクリックします。

11. ページの内容が正しいことを確認して、「構成のテスト」をクリックします。

12. 「次へ」をクリックします。

13. 「ターゲットの選択」ページで、データ・ソースのデプロイ先となるサーバーまたはクラスタを選択します。
管理サーバーおよび管理対象サーバーをターゲットとして選択する必要があります。次に例を示します。

- 「サーバー」ペイン:
「AdminServer」チェック・ボックスを選択します。

- 「クラスタ」ペイン:
「bi_server1」オプションを選択します。

14. 「終了」をクリックします。

15. チェンジ・センターで、変更のアクティブ化をクリックします。

16. Oracle WebLogic Serverを再起動します。

3.4.3.3.2 Oracle WebLogic Server管理コンソールの使用によるSQL認証プロバイダの構成

このタスクを実行することで、適切な権限を付与されたユーザーが、WebLogicデータベース認証プロバイダを使用してOracle WebLogic Server管理コンソールにログインできるようになります。

Oracle WebLogic Server管理コンソールを使用してSQL認証プロバイダを構成するには:

1. Oracle WebLogic Server管理コンソールにログインし、「チェンジ・センター」で「ロックして編集」をクリックします。
詳細は、第1.6.1項「Oracle WebLogic Server管理コンソールの使用」を参照してください。

図wls01.gifの説明

2. 左ペインで「セキュリティ・レルム」を選択し、「myrealm」をクリックします。
デフォルトのセキュリティ・レルムはmyrealmという名前です。

3. 「プロバイダ」タブを表示し、「認証」サブタブを表示します。
図wls03.gifの説明

4. 「新規」をクリックし、「新しい認証プロバイダの作成」ページを起動します。

5. 「新しい認証プロバイダの作成」ページで、次のように値を入力します。

- 名前: 認証プロバイダの名前を入力します。たとえば、UserGroupDBAuthenticatorと入力します。

- タイプ: リストから、「ReadOnlySQLAuthenticator」を選択します。
これにより読取り専用のSQL認証プロバイダが作成され、WebLogicからデータベースに書き戻されることはありません。

- 「OK」をクリックし、変更を保存して、新しい認証プロバイダで更新された認証プロバイダ・リストを表示します。

6. 認証プロバイダの表の「名前」列で「UserGroupDBAuthenticator」をクリックし、「設定」ページを表示します。

7. 「プロバイダ固有」タブを表示し、「データ・ソース名」に、第3.4.3.3.1項で作成したデータ・ソースの名前を入力します。
たとえば、UserGroupDSと入力します。

8. 「プロバイダ固有」タブで、データベース表に対して問合せおよび認証を行うために使用するSQL文を指定します。
表3-1は、第3.4.3.2項で概説したサンプル・スキーマのSQL文を示しています。

表3-1 サンプル・スキーマのSQL文

問合せ

SQL

注意

SQL - ユーザー・パスワードの取得(認証に使用)

SELECT PASSWORD FROM USER WHERE USER_ID = ?

ユーザーのパスワードをルックアップするためのSQL文。このSQL文にはユーザー名のパラメータが1つ必要です。パスワードを含む最大1つのレコードを格納したresultSetが戻されます。

SQL - ユーザーが存在するかどうか

SELECT USER_ID FROM USER WHERE USER_ID = ?

ユーザーをルックアップするためのSQL文。このSQL文にはユーザー名のパラメータが1つ必要です。ユーザーを含む最大1つのレコードを格納したresultSetが戻されます。

SQL - ユーザーのリスト

SELECT USER_ID FROM USER WHERE USER_ID LIKE ?

特定のワイルドカード検索に一致するユーザーを取得するためのSQL文。このSQL文にはユーザー名のパラメータが1つ必要です。一致したユーザー名を格納したresultSetが戻されます。

SQL - グループのリスト

SELECT GROUP_ID FROM GROUP WHERE GROUP_ID LIKE ?

ワイルドカードに一致するグループ名を取得するためのSQL文。このSQL文にはグループ名のパラメータが1つ必要です。一致したグループを格納したresultSetが戻されます。

SQL - グループが存在するかどうか

SELECT GROUP_ID FROM GROUP WHERE GROUP_ID = ?

グループをルックアップするためのSQL文。このSQL文にはグループ名のパラメータが1つ必要です。グループを含む最大1つのレコードを格納したresultSetを返します。

SQL - メンバーかどうか

SELECT GROUP_ID FROM USER_GROUP WHERE GROUP_ID=?AND USER_ID LIKE ?

グループのメンバーをルックアップするためのSQL文。このSQL文には2つのパラメータ(グループ名とメンバーまたはグループ名)が必要です。resultSetを返します。

SQL - メンバー・グループのリスト

SELECT GROUP_ID FROM USER_GROUP WHERE USER_ID = ?

ユーザーまたはグループが属しているグループをルックアップするためのSQL文。このSQL文にはユーザー名またはグループ名のパラメータが1つ必要です。一致するグループの名前を格納したresultSetを戻します。

SQL - ユーザーの説明の取得(「サポートされている説明」が有効な場合)

SELECT USER_NAME FROM USER WHERE USER_ID = ?

特定のユーザーの説明を取得するためのSQL文。このSQL文にはユーザー名のパラメータが1つ必要です。ユーザーの説明を含む最大1つのレコードを格納したresultSetが戻されます。

SQL - グループの説明の取得(「サポートされている説明」が有効な場合)

SELECT GROUP_DESCRIPTION FROM GROUP WHERE GROUP_ID = ?

グループの説明を取得するためのSQL文。「サポートされている説明」が有効になっている場合にのみ有効です。このSQL文にはグループ名のパラメータが1つ必要です。グループの説明を含む最大1つのレコードを格納したresultSetが戻されます。

注意:

異なる表構造を使用する場合は、これらのSQL文(表および列の名前)を独自のスキーマに合せて変更する必要がある場合があります。また疑問符(?)を、(ユーザー名やグループ名をハードコードするかわりに)ランタイム問合せのプレースホルダとして維持する必要もあります。

Oracle WebLogic Serverでの認証プロバイダの構成の詳細は、『Oracle Fusion Middleware Oracle WebLogic Serverの保護』を参照してください。

9. 必要なすべてのSQL文を、使用する認証プロバイダに入力します。

10. パスワード列がプレーンテキストの場合(つまり、「SQL - ユーザー・パスワードの取得」列に対して返された問合せの結果がハッシュ化/暗号化されていない場合)、「プレーンテキスト・パスワードの有効化」チェック・ボックスを選択します。
「プレーンテキスト・パスワードの有効化」チェック・ボックスが選択されていない場合、SQLAuthenticatorではSHA-1(デフォルトの暗号化アルゴリズム)を使用してパスワードがハッシュされていると想定されます。サポートされる暗号化アルゴリズムの詳細は、ベースSQLAuthenticator Mbean PasswordAlgorithm属性に関するドキュメントを参照してください。

11. 「保存」をクリックします。

12. 次の手順を実行し、デフォルト認証プロバイダの「制御フラグ」設定を構成します。

1. メインの「myrealmの設定」ページで、「プロバイダ」タブ→「認証」サブタブを表示し、「DefaultAuthenticator」を選択して、その構成ページを表示します。

2. 「構成」→「共通」タブを表示し、「制御フラグ」リストで「SUFFICIENT」を選択します。
詳細は、第3.4.6項「JAAS制御フラグ・オプションの設定」を参照してください。

3. 「保存」をクリックします。

13. 次の手順に従って認証プロバイダを並べ替えます。

1. 「プロバイダ」タブを表示します。

2. 「並替え」をクリックし、「認証プロバイダの並替え」ページを表示します。

3. 「UserGroupDBAuthenticator」を選択し、矢印ボタンを使用してこれをリストの最初に移動します。

4. 「OK」をクリックして変更内容を保存します。

14. 第3.7項「新しい信頼できるユーザー(BISystemUser)の構成」の説明に従って、信頼できるシステム・ユーザーがデータベースに構成されていることと、このユーザーの資格証明をポイントするように資格証明ストアの資格証明を置換していることを確認する必要があります。

15. チェンジ・センターで、変更のアクティブ化をクリックします。

16. (管理サーバーが再起動したらFusion Middleware Controlを使用して)Oracle BIコンポーネント、Oracle WebLogic Serverおよび管理対象サーバーを再起動します。

注意:

「ユーザーとグループ」タブをチェックして、データベースのユーザーとグループが表示されていることを確認します。

3.4.3.4 仮想アイデンティティ・ストアの構成

仮想アイデンティティ・ストアを次のように構成します。

- 第3.4.3.4.1項「アイデンティティ・ストアの構成による仮想化の有効化」

- 第3.4.3.4.2項「データベース・アダプタの構成」

3.4.3.4.1 アイデンティティ・ストアの構成による仮想化の有効化

アイデンティティ・ストアを構成して仮想化を有効にする必要があります。これにより、アイデンティティ・ストア・サービスで複数のアイデンティティ・ストアを使用できるようになり、ユーザー・プロファイル情報を様々な認証プロバイダ(アイデンティティ・ストア)に分散できます。

詳細は、第3.4.5項「Fusion Middleware Controlの使用による複数の認証プロバイダの構成」を参照してください。

3.4.3.4.2 データベース・アダプタの構成

LDAPサーバーのようにデータベースが表示されるようデータベース・アダプタを構成します。これにより、仮想アイデンティティ・ストア・プロバイダは、そのデータベース・アダプタを使用してユーザー・プロファイル情報をデータベースから取得できます。

データベース・アダプタを構成するには:

このタスクは、データベース表をアイデンティティ・ストアとして使用する方法を指定する、アダプタ・テンプレートを編集して適用する方法を示しています。

1. adapter_template_usergroup1.xmlという名前のファイルを作成します。
このファイルは、ユーザー表から仮想LDAPストアへのマッピングを記述します。

2. ファイルに次の内容が含まれていることを確認します。

注意:

太字で示しているセクションは、独自の表の列がLDAPサーバー内の属性と一致するように変更する必要があります。ここに示す例は、第3.4.3項全体で使用するサンプル・スキーマを対象としたものです。

<?xml version = '1.0' encoding = 'UTF-8'?>
<adapters schvers="303" version="1" xmlns="http://www.octetstring.com/schemas/Adapters" xmlns:adapters="http://www.w3.org/2001/XMLSchema-instance">
<dataBase id="directoryType" version="0">
<root>%ROOT%</root>
<active>true</active>
<serverType>directoryType</serverType>
<routing>
<critical>true</critical>
<priority>50</priority>
<inclusionFilter/>
<exclusionFilter/>
<plugin/>
<retrieve/>
<store/>
<visible>Yes</visible>
<levels>-1</levels>
<bind>true</bind>
<bind-adapters/>
<views/>
<dnpattern/>
</routing>
<pluginChains xmlns="http://xmlns.oracle.com/iam/management/ovd/config/plugins">
<plugins>
<plugin>
<name>DBGUID</name>
<class>oracle.ods.virtualization.engine.chain.plugins.dbguid.DBGuidPlugin</class>
<initParams>
<param name="guidAttribute" value="orclguid"/>
</initParams>
</plugin>
</plugins>
<default>
<plugin name="DBGUID"/>
</default>
<add/>
<bind/>
<delete/>
<get/>
<modify/>
<rename/>
</pluginChains>
<driver>oracle.jdbc.driver.OracleDriver</driver>
<url>%URL%</url>
<user>%USER%</user>
<password>%PASSWORD%</password>
<ignoreObjectClassOnModify>false</ignoreObjectClassOnModify>
<includeInheritedObjectClasses>true</includeInheritedObjectClasses>
<maxConnections>10</maxConnections>
<mapping>
<joins/>
<objectClass name="inetorgperson" rdn="cn">
<attribute ldap="cn" table="USER" field="USER_NAME" type=""/>
<attribute ldap="uid" table="USER" field="USER_ID" type=""/>
<attribute ldap="usernameattr" table="USER" field="USER_NAME" type=""/>
<attribute ldap="loginid" table="USER" field="USER_ID" type=""/>
<attribute ldap="description" table="USER" field="USER_NAME" type=""/>
<attribute ldap="orclguid" table="USER" field="USER_ID" type=""/>
</objectClass>
</mapping>
<useCaseInsensitiveSearch>true</useCaseInsensitiveSearch>
<connectionWaitTimeout>10</connectionWaitTimeout>
<oracleNetConnectTimeout>0</oracleNetConnectTimeout>
<validateConnection>false</validateConnection>
</dataBase>
</adapters>

この例でカスタマイズが必要なのは太字で示しているセクションのみですが、その要素は、仮想LDAPスキーマで使用されている属性/クラスを、それらに対応するデータベースの列と一致させることでマップする必要があります。この仮想スキーマはWebLogicの組込みLDAPの仮想スキーマと同じであり、表3-2に示す任意の属性をデータベース列にマップできます。

表3-2 データベース列にマップする属性の例

属性

例

description

John Doe

cn

john.doe

uid

john.doe

sn

Doe

userpassword

welcome1

displayName

John Doe

employeeNumber

12345

employeeType

Regular

givenName

John

homePhone

650-555-1212

mail

john.doe@example.com

title

マネージャ

manager

uid=mary.jones,ou=people,ou=myrealm,dc=wc_domain

preferredLanguage

en

departmentNumber

ツール

facsimiletelephonenumber

650-555-1200

mobile

650-500-1200

pager

650-400-1200

telephoneNumber

650-506-1212

postaladdress

200 Oracle Parkway

l

Redwood Shores

homepostaladdress

123 Main St., Anytown 12345

3. 最初の外側の要素(<objectClass name="inetorgperson" rdn="cn">)を使用して、LDAPオブジェクト・クラスinetorgpersonのマッピングを宣言します。
cn属性はRDN(相対識別名)として使用されます。次にサブ要素で、どのLDAP属性をデータベースのどの表および列にマップするのかを宣言します。たとえば、「<attribute ldap="uid" table="USER" field="USER_ID" type=""/>」の行では、USER表のUSER_IDフィールドを、標準のLDAP属性であるuid (つまり、ユーザーごとに一意のユーザーID)にマップします。

次に、同じ方法を使用してグループをマップします。

4. adapter_template_usergroup2.xmlという名前のファイルを作成します。
このファイルは、グループ表から仮想LDAPストアへのマッピングを記述します。

5. 次の内容をファイルに追加します。
太字で示したセクションをカスタマイズして、ユーザー独自の表にある列と一致させる必要があります。ここに示すサンプルの内容は、この例全体で使用するサンプル・スキーマに一致します。

<?xml version = '1.0' encoding = 'UTF-8'?>
<adapters schvers="303" version="1" xmlns="http://www.octetstring.com/schemas/Adapters" xmlns:adapters="http://www.w3.org/2001/XMLSchema-instance">
<dataBase id="directoryType" version="0">
<root>%ROOT%</root>
<active>true</active>
<serverType>directoryType</serverType>
<routing>
<critical>true</critical>
<priority>50</priority>
<inclusionFilter/>
<exclusionFilter/>
<plugin/>
<retrieve/>
<store/>
<visible>Yes</visible>
<levels>-1</levels>
<bind>true</bind>
<bind-adapters/>
<views/>
<dnpattern/>
</routing>
<pluginChains xmlns="http://xmlns.oracle.com/iam/management/ovd/config/plugins">
<plugins>
<plugin>
<name>VirtualAttribute</name>
<class>oracle.ods.virtualization.engine.chain.plugins.virtualattr.VirtualAttributePlugin</class>
<initParams>
<param name="ReplaceAttribute" value="uniquemember={cn=%uniquemember%,cn=users,dc=oracle,dc=com}"/>
</initParams>
</plugin>
</plugins>
<default>
<plugin name="VirtualAttribute"/>
</default>
<add/>
<bind/>
<delete/>
<get/>
<modify/>
<rename/>
</pluginChains>
<driver>oracle.jdbc.driver.OracleDriver</driver>
<url>%URL%</url>
<user>%USER%</user>
<password>%PASSWORD%</password>
<ignoreObjectClassOnModify>false</ignoreObjectClassOnModify>
<includeInheritedObjectClasses>true</includeInheritedObjectClasses>
<maxConnections>10</maxConnections>
<mapping>
<joins/>
<objectClass name="groupofuniquenames" rdn="cn">
<attribute ldap="cn" table="USER_GROUP" field="GROUP_ID" type=""/>
<attribute ldap="description" table="USER_GROUP" field="GROUP_ID" type=""/>
<attribute ldap="uniquemember" table="USER_GROUP" field="USER_ID" type=""/>
<attribute ldap="orclguid" table="USER_GROUP" field="USER_ID" type=""/>
</objectClass>
</mapping>
<useCaseInsensitiveSearch>true</useCaseInsensitiveSearch>
<connectionWaitTimeout>10</connectionWaitTimeout>
<oracleNetConnectTimeout>0</oracleNetConnectTimeout>
<validateConnection>false</validateConnection>
</dataBase>
</adapters>

6. 次の要素について、太字で示した適切なセクションをカスタマイズします。

- ReplaceAttribute
グループで一意のメンバーを定義する方法を指定します(%uniquemember%は、ユーザーがグループのメンバーかどうかをルックアップする際の実行時に渡される値のプレースホルダ)

この要素について変更する唯一の点は、ユーザーのルートの指定です。概念的には、libovdadapterconfigスクリプトをステップ10で実行する際にユーザー移入のルートとして指定するものにデフォルトで一致する必要があります。

- groupofuniquenames
ユーザー同様、グループ属性をデータベース・フィールドにマップする方法を指定します。この属性は、Weblogicの組込みLDAPのデフォルトに対応します。

次の属性をマップする必要があります。

- cn (グループの一意の名前にマップする)

- uniquemember (データベース・スキーマのユーザー/グループ・マッピング表におけるユーザーの一意の名前にマップする)

次の属性のマップはオプションです。

- descriptionはオプション(ただし明らかに有用な情報です)

- orclguid (データベース・スキーマで利用可能な場合はUIDにマップする)

その他の属性は、ユーザーは構成できません。

7. 2つのアダプタ・ファイルを次のフォルダにコピーします。
<MW_HOME>/oracle_common/modules/oracle.ovd_11.1.1/templates/

8. 次の場所でコマンド・プロンプトまたはターミナルを開きます。
<MW_HOME>/oracle_common/bin

9. 次の環境変数が設定されていることを確認します。

- ORACLE_HOME=<MW_HOME>/Oracle_BI1

- WL_HOME=<MW_HOME>/wlserver_10.3/

- JAVA_HOME=<MW_HOME>/jdk160_24/

10. libovdadapterconfigスクリプトを実行し、テンプレート・ファイルから2つのアダプタをそれぞれ作成します。次に構文を示します。

libovdadapterconfig -adapterName <name of adapter> -adapterTemplate <name (NOT including path) of template file which defines adapter> -host localhost -port <Admin Server port> -userName <user id of account which has administrative privileges in the domain> -domainPath <path to the BI domain> -dataStore DB -root <nominal specification of a pseudo-LDAP query to treat as the "root" of this adapter - must match that specified in template for adapter 2 above> -contextName default -dataSourceJNDIName <JNDI name for DataSource which points at the database being mapped>

例:

./libovdadapterconfig.sh -adapterName userGroupAdapter1 -adapterTemplate adapter_template_usergroup1.xml -host localhost -port 7001 -userName weblogic -domainPath /opt/oracle_bi/user_projects/domains/bifoundation_domain/ -dataStore DB -root cn=users,dc=oracle,dc=com -contextName default -dataSourceJNDIName jdbcUserGroupsDS

./libovdadapterconfig.sh -adapterName userGroupAdapter2 -adapterTemplate adapter_template_usergroup2.xml -host localhost -port 7001 -userName weblogic -domainPath /opt/oracle_bi/user_projects/domains/bifoundation_domain/ -dataStore DB -root cn=users,dc=oracle,dc=com -contextName default -dataSourceJNDIName jdbcUserGroupsDS

スクリプトはエラーなしで終了する必要があります。

11. WebLogic管理サーバーおよび管理対象サーバーを再起動します。
これで、データベースに格納された資格証明を使用して、WebLogicおよびOracle Business Intelligenceにログインできるはずです。

3.4.3.5 SQL認証プロバイダのトラブルシューティング

この項では、SQL認証プロバイダのトラブルシューティング情報を示します。この項の内容は次のとおりです。

- 第3.4.3.5.1項「Oracle WebLogic Server管理コンソールの使用によるグローバルAdminロールへのユーザーの追加」

- 第3.4.3.5.2項「SQLAuthenticatorに対する正しくないデータ・ソース名の指定」

- 第3.4.3.5.3項「正しくないSQL問合せ」

3.4.3.5.1 Oracle WebLogic Server管理コンソールの使用によるグローバルAdminロールへのユーザーの追加

データベース・ユーザーを使用してOracle Business Intelligenceにログインできない場合に役立つ診断テストとして、そのユーザーがWebLogicにログインできるかどうかを確認することがあります。WebLogicコンテナ認証を利用する他のアプリケーションがWebLogic Server上にない場合は、ユーザーを(一時的に) WebLogicのグローバルAdminロールに追加し、そのユーザーがOracle WebLogic Server管理コンソールにログインできるかどうかを確認することで、SQLAuthenticatorが正しく動作していることをテストします。

Oracle WebLogic Server管理コンソールを使用してグローバルAdminロールにユーザーを追加するには:

1. Oracle WebLogic Server管理コンソールにログインし、「チェンジ・センター」で「ロックして編集」をクリックします。
詳細は、第1.6.1項「Oracle WebLogic Server管理コンソールの使用」を参照してください。

2. 左ペインで「セキュリティ・レルム」を選択し、「myrealm」をクリックします。
デフォルトのセキュリティ・レルムはmyrealmという名前です。

3. 「ロールとポリシー」タブを表示し、「レルム・ロール」サブタブを表示します。

4. ロールのリストでプラス記号をクリックして「グローバル・ロール」→「ロール」を展開し、Adminロールの「ロール条件の表示」リンクをクリックします。

5. 指定されている条件が、直接、または所属するグループに基づいて、ユーザーに一致することを確認します。
たとえば、条件にはUser=myadminaccountやGroup=Administratorsなどがあります。

6. 変更したら、「保存」をクリックします。
変更はただちに適用されます。

7. これで、問題のユーザーがOracle WebLogic Server管理コンソール(http://<bi server address>:<AdminServer Port>/console)にログインできるかどうかを確認できます(例: http://mybiserver:7001/console)。
ユーザーがコンソールにログインできるがOracle Business Intelligenceにログインできない場合、SQLAuthenticatorは正しく動作していますが、アイデンティティ・ストア・サービスに問題がある可能性があります。第3.4.3.4項「仮想アイデンティティ・ストアの構成」でvirtualize=trueプロパティを指定してあり、DBAdapterテンプレートが正しいことを確認します。

3.4.3.5.2 SQLAuthenticatorに対する正しくないデータ・ソース名の指定

SQLAuthenticatorのデータ・ソース・フィールドに正しくないJNDI名を指定した場合、次のようなエラーが管理サーバーおよび管理対象サーバーのログ・ファイルに記録されます。

Caused by: javax.security.auth.login.FailedLoginException: [Security:090761]Authentication failed for user jsmith java.sql.SQLException: [Security:090788]"Problem with DataSource/ConnectionPool configuration, verify DataSource name wrongdsname is correct and Pool configurations are correct"
at weblogic.security.providers.authentication.shared.DBMSAtnLoginModuleI
mpl.login(DBMSAtnLoginModuleImpl.java:318)

データ・ソースのNameフィールドではなく、完全修飾JNDI名を使用する必要があります。第3.4.3.3.1項「Oracle WebLogic Server管理コンソールの使用によるデータ・ソースの構成」に示した例では、データ・ソースの名前はUserGroupDSでしたが、JNDI名はjdbc/UserGroupDSでした。完全修飾された形式を使用します。

3.4.3.5.3 正しくないSQL問合せ

SQLAuthenticatorを構成するときに指定するSQL問合せの構文が正しいこと、および正しい表を参照していることを確認します。たとえば、パスワード問合せに正しくない表名が指定されると、次のエラーがAdministration Server.logファイルに記録されます。

####<Jul 7, 2011 4:03:27 PM BST> <Error> <Security> <gbr20020> <AdminServer> <[ACTIVE] ExecuteThread: '8' for queue: 'weblogic.kernel.Default (self-tuning)'> <<WLS Kernel>> <> <de7dd0dc53f3d0ed:e0ce69e:131007c1afe:-8000-00000000000007fa> <1310051007798> <BEA-000000> <[Security:090759]A SQLException occurred while retrieving password information
java.sql.SQLSyntaxErrorException: ORA-00942: table or view does not exist
at oracle.jdbc.driver.T4CTTIoer.processError(T4CTTIoer.java:457)
at oracle.jdbc.driver.T4CTTIoer.processError(T4CTTIoer.java:405)
at oracle.jdbc.driver.T4C8Oall.processError(T4C8Oall.java:889)
at oracle.jdbc.driver.T4CTTIfun.receive(T4CTTIfun.java:476)

3.4.3.6 アダプタの削除および再作成によるデータベース・アダプタ・エラーの修正

既存のデータベース・アダプタは修正しないでください。アダプタの作成で使用するテンプレートやlibovdadapterコマンドでエラーが発生した場合は、次の手順を使用してアダプタを削除してから、再作成する必要があります。

アダプタを削除および再作成してデータベース・アダプタ・エラーを修正するには:

1. WLSTスクリプトを実行して、WSLTコンソールにログインします。
例:

MW_HOME/oracle_common/common/bin/wlst.sh (UNIX)

MW_HOME\oracle_common\common\bin\wlst.cmd (Windows)

2. 次の構文を使用して管理サーバーに接続します。
connect ('<WLS admin user name>','<WLS admin password>','t3://<admin server host>:<admin server port>')

例:

connect('weblogic','weblogic','t3://myserver:7001')

3. 次の構文を使用して、適切に構成されていないアダプタを削除します。
deleteAdapter(adapterName='<AdapterName>')

例:

deleteAdapter(adapterName='userGroupAdapter2')

4. exit()コマンドを使用してWLSTコンソールを終了し、第3.4.3.4.2項「データベース・アダプタの構成」の手順に従って適切な設定でアダプタを再作成します。

3.4.4 認証プロバイダとしてのLDAPの構成とデータベースへのグループの格納

この項では、LDAPアイデンティティ・ストアに対して認証を行うようにOracle Business Intelligenceを構成し、グループ情報をデータベースに格納する方法について説明します。この項の例では、Oracle Internet Directory (OID LDAP)およびサンプル・データベース・スキーマを使用します。ただし、OID LDAPをLDAPアイデンティティ・ストアとして使用したり、サンプルと同じデータベース・スキーマを使用したりする必要はありません。

Oracle Business Intelligenceでは、この方法の使用を可能にする、BISQLGroupProviderというWebLogic Server用の認証プロバイダが提供されます。この認証プロバイダでは、エンド・ユーザーの資格証明は認証されませんが、データベース表に保持された外部のグループ・メンバーシップを認証済ユーザーのIDに提供できます。

この項には次のトピックが含まれます:

- 第3.4.4.1項「前提条件」

- 第3.4.3.2項「グループおよびグループ・メンバーのサンプル・スキーマの作成」

- 第3.4.4.3項「Oracle WebLogic Server管理コンソールの使用によるデータ・ソースおよびBISQLGroupProviderの構成」

- 第3.4.4.4項「仮想アイデンティティ・ストアの構成」

- 第3.4.4.5項「アプリケーション・ロールへのデータベース・グループの追加による構成のテスト」

- 第3.4.4.6項「アダプタのエラーの修正」

3.4.4.1 前提条件

この項の説明に従ってLDAP認証の構成を試みる前に、次の前提条件を満たす必要があります。

- Oracle Business Intelligence Enterprise Editionリリース11.1.1.5.0 (またはそれ以降)がインストールされ、稼動している必要があります。

- Oracle BI 11.1.1.5.0システムにすべての関連するパッチを適用する必要があります。

- 必要なグループを含む1つ以上の表が格納された適切なデータベース・スキーマ、およびそれらのグループをLDAPによって認証されるユーザーの名前にマップするマッピング表が稼動していて、Oracle BI EEが稼動するWebLogic Serverからアクセスできる必要があります。

- ユーザーを格納するアイデンティティ・ストアとして使用するために、サポートされているLDAPサーバーが構成に含まれている必要があります。

- Oracle Business Intelligenceからアプリケーション・ロールのメンバーにコンテンツを配信する必要がある場合、次の制約が適用されます。

- ペアにできるのは、単一のLDAP認証プロバイダと単一のBISQLGroupProviderのみです。
複数のLDAP認証プロバイダを構成し、BISQLGroupProviderからグループ・メンバーシップを取得する必要がある場合、コンテンツをアプリケーション・ロールのすべてのメンバーに配信できません。この構成では、Oracle BIデリバーでユーザーおよびグループ・メンバーシップに基づいてアプリケーション・ロールのメンバーシップを解決できません。

- 複数のアイデンティティ・ストアで同じグループは定義できません。
たとえば、LDAPおよびデータベース・グループの両方の表で、BIAdministratorsというグループは保持できません。これを行った場合、Oracle BIデリバーによって呼び出されるセキュリティ・コードでアプリケーション・ロールのメンバーシップを解決できなくなります。

3.4.4.2 グループおよびグループ・メンバーのサンプル・スキーマの作成

ここで説明するサンプル・スキーマは意図的に単純化されており、スキーマを使用するようOracle Business Intelligenceを構成する方法についてのみ説明します。

サンプル・スキーマの名前はACME_BI_GROUPSで、2つの表を含みます。GROUPSでは外部グループのリストが定義され、GROUPMEMBERSにはプライマリ・アイデンティティ・ストア内に存在するユーザーのグループ・メンバーシップが記述されます。

図3-3と同じ表(またはビュー)を定義することの利点は、BISQLGroupProviderの構成で、表3-3に概説されたデフォルトのSQLを使用できることです。

図3-3は、表GROUPSおよびGROUPMEMBERSを示しています。

図3-3 グループおよびグループ・メンバーのサンプル・スキーマ

LDAPストア内のユーザーを、データベース表のグループにログイン名でマップする必要があります。図3-3では、GROUPMEMBERS表のG_MEMBERの値が、LDAP認証プロバイダに指定されているように、ログインに使用されるLDAP属性の値(uid、cn、mailなど)と一致する必要があります。たとえば、ログイン属性がmailのときに、データベース・グループをuidでマップしないようにする必要があります。

3.4.4.3 Oracle WebLogic Server管理コンソールの使用によるデータ・ソースおよびBISQLGroupProviderの構成

Oracle WebLogic Server管理コンソールを使用して、データ・ソースとBISQLGroupProviderを次のように構成します。

- 第3.4.4.3.1項「Oracle WebLogic Serverの使用によるプライマリ・アイデンティティ・ストアとしてのOracle Internet Directoryの構成」

- 第3.4.4.3.2項「BISQLGroupProviderのインストール」

- 第3.4.4.3.3項「Oracle WebLogic Server管理コンソールの使用によるデータ・ソースの構成」

- 第3.4.4.3.4項「Oracle WebLogic Server管理コンソールの使用によるBISQLGroupProvider SQL認証プロバイダの構成」

3.4.4.3.1 Oracle WebLogic Serverの使用によるプライマリ・アイデンティティ・ストアとしてのOracle Internet Directoryの構成

リンク先の手順に従って、ユーザー移入をOID LDAPに対して認証するようにWebLogicを構成できます。

詳細は、第3.4.1項「認証プロバイダとしてのOracle Internet Directoryの構成」を参照してください。

注意:

このタスクの手順に従うときに、OID LDAP認証プロバイダの「プロバイダ固有」構成ページに表示される「ユーザー・ベースDN」および「ユーザー名属性」の値をメモしておいてください。これらの値は、後の手順で必要になります。詳細は、第3.4.4.4.3項「グループ情報を取得するためのデータベース・アダプタの構成」を参照してください。

3.4.4.3.2 BISQLGroupProviderのインストール

BISQLGroupProvider認証プロバイダを構成する前に、まず認証プロバイダが格納されたJARファイルBISecurityProviders.jarをインストールする必要があります。ファイルは、パッチ適用前のOracle Business Intelligenceリリース11.1.1.6.0 (またはそれ以降)およびパッチ適用後のOracle Business Intelligenceリリース11.1.1.5.0のどちらを使用する場合でも、次の場所で入手できます(ただしファイルを正しい場所にコピーする必要があります)。

MW_HOME/ORACLE_HOME/bifoundation/security/providers

ファイルを次の場所にコピーする必要があります。

MW_HOME/wlserver_10.3/server/lib/mbeantypes

ファイルを指定された場所にコピーした後、管理サーバーを再起動して、使用可能な認証プロバイダのリストに新しいプロバイダが表示されるようにする必要があります。

注意:

エンタープライズ・インストールを実行してクラスタ環境を作成した場合、そのインストールでは、スケールが拡大された管理対象サーバーを再起動できません。これは、BISecurityProviders.jarファイルが使用できないためです。インストール中にこの状況が発生した場合は、JARファイルを正しい場所にコピーし、インストーラで「再試行」をクリックします。

3.4.4.3.3 Oracle WebLogic Server管理コンソールの使用によるデータ・ソースの構成

Oracle WebLogic Server管理コンソールを使用してデータ・ソースを構成するには:

1. Oracle WebLogic Server管理コンソールにログインし、「チェンジ・センター」で「ロックして編集」をクリックします。
詳細は、第1.6.1項「Oracle WebLogic Server管理コンソールの使用」を参照してください。

2. 左ペインで「サービス」をクリックし、「データ・ソース」をクリックします。

3. データ・ソースの概要ページで「新規」をクリックし、「汎用データ・ソース」を選択します。

4. 「JDBCデータ・ソースのプロパティ」ページで、次のプロパティの値を入力または選択します。

- 名前: たとえば、BIDatabaseGroupDSと入力します。
基礎となる構成ファイル(config.xml)およびOracle WebLogic Server管理コンソール全体で、このデータ・ソースを参照するときに必ず使用される名前。

- JNDI名: たとえば、jdbc/BIDatabaseGroupDSと入力します。
このJDBCデータ・ソースのバインド先のJNDIパス。

- データベース・タイプ: たとえば、「Oracle」を選択します。
接続先のデータベースのDBMS。

5. 「次へ」をクリックします。

6. 「データベース・ドライバ」ドロップダウン・リストからデータベース・ドライバを選択します。
たとえば、Oracleのサービス接続用ドライバ(Thin)、バージョン9.0.1以降を選択します。

注意:

Oracleデータベースを使用する場合、Oracleのサービス接続用ドライバ(Thin)、バージョン9.0.1以降を選択します。

7. 「次へ」をクリックします。

8. 「次へ」をクリックします。

9. 「 接続プロパティ 」ページで、次のプロパティの値を入力します。

- データベース名: たとえば、ora11gと入力します。
接続先のデータベースの名前。

- ホスト名: たとえば、mymachine.mycompany.comと入力します。
データベースのホストとなるサーバーのDNS名またはIPアドレス。

注意:

クラスタを使用する場合は、localhostを使用しないでください。

- Port: たとえば、1521と入力します。
データベース・サーバーが接続リクエストをリスニングするポート。

- データベース・ユーザー名
一般には、第3.4.4.2項で定義される表のスキーマ所有者。

たとえば、MYUSERと入力します。

- 「パスワード」/「パスワードの確認」
「データベース・ユーザー名」用のデータベース・パスワード。

たとえば、mypasswordと入力します。

10. 「次へ」をクリックします。

11. ページの内容が正しいことを確認して、「構成のテスト」をクリックします。

12. 「次へ」をクリックします。

13. 「ターゲットの選択」ページで、デプロイ先のデータ・ソースのサーバーまたはクラスタを選択します。
管理サーバーおよび管理対象サーバーをターゲットとして選択する必要があります。次に例を示します。

- 「サーバー」ペイン:
「AdminServer」オプションを選択します。

- 「クラスタ」ペイン:
「bi_server1」チェック・ボックスを選択し、クラスタにデプロイします(この操作は簡易インストールには適用されません)。

14. 「終了」をクリックします。

15. チェンジ・センターで、変更のアクティブ化をクリックします。

注意:

この例で使用するデータベースの名前はBIDatabaseGroupDSです。

3.4.4.3.4 Oracle WebLogic Server管理コンソールの使用によるBISQLGroupProvider SQL認証プロバイダの構成

このタスクでは、第3.4.4.2項「グループおよびグループ・メンバーのサンプル・スキーマの作成」で概説した例の表の構造を使用し、BIDatabaseGroupDSデータ・ソースに対してBISQLGroupProviderを作成する方法について説明します。構造が例と異なる場合は、使用するSQL文(表や列名)の変更が必要になる可能性があります。

注意:

データベースにはユーザーに関連付けられるグループが格納されるのみであるため、データベースに対する認証はありません。認証はLDAPに対して発生し、Oracle WebLogic Server管理コンソールでBISQLGroupProviderによってグループがアプリケーション・ロールに割り当てられたときに、データベースが公開されます。

Oracle WebLogic Server管理コンソールを使用してBISQLGroupProvider SQL認証プロバイダを構成するには:

1. Oracle WebLogic Server管理コンソールにWebLogic管理者としてログインし、チェンジ・センターで「ロックして編集」をクリックします。
詳細は、第1.6.1項「Oracle WebLogic Server管理コンソールの使用」を参照してください。

図wls01.gifの説明

2. 左ペインで「セキュリティ・レルム」を選択し、「myrealm」をクリックします。
デフォルトのセキュリティ・レルムはmyrealmという名前です。

3. 「プロバイダ」タブを表示し、「認証」サブタブを表示します。
図wls03.gifの説明

4. 「新規」をクリックし、「新しい認証プロバイダの作成」ページを起動します。

5. 「新しい認証プロバイダの作成」ページで、次のように値を入力します。

- 名前: 認証プロバイダの名前を入力します。たとえば、MySQLGroupProviderと入力します。

- タイプ: リストから、「BISQLGroupProvider」を選択します。

- 「OK」をクリックし、変更を保存して、新しい認証プロバイダで更新された認証プロバイダ・リストを表示します。

6. 認証プロバイダの表の「名前」列で「MySQLGroupProvider」をクリックし、「設定」ページを表示します。

7. 「プロバイダ固有」タブを表示して、データベース表に対して問合せおよび認証を行うために使用するSQL文を指定します。

8. 「データ・ソース名」を指定します。これはデータ・ソース名ではなく、JNDI名である必要があります。たとえば、jdbc/BIDatabaseGroupDSです。
表3-3は、第3.4.4.2項で概説したサンプル・スキーマのSQL文を示しています。

表3-3 サンプル・スキーマのSQL文

問合せ

SQL

注意

SQL - グループのリスト

SELECT G_NAME FROM GROUPS WHERE G_NAME LIKE ?

ワイルドカードに一致するグループ名を取得するためのSQL文。このSQL文にはグループ名のパラメータが1つ必要です。一致したグループを格納したresultSetが戻されます。

SQL - グループが存在するかどうか

SELECT G_NAME FROM GROUPS WHERE G_NAME = ?

グループをルックアップするためのSQL文。このSQL文にはグループ名のパラメータが1つ必要です。グループを含む最大1つのレコードを格納したresultSetを返します。

SQL - メンバーかどうか

SELECT G_MEMBER FROM GROUPMEMBERS WHERE G_NAME = ?AND G_MEMBER = ?

グループのメンバーをルックアップするためのSQL文。このSQL文には2つのパラメータ(グループ名とメンバーまたはグループ名)が必要です。一致するグループ名を格納したresultSetが戻されます。

SQL - メンバー・グループのリスト

SELECT G_NAME FROM GROUPMEMBERS WHERE G_MEMBER = ?

ユーザーまたはグループが属しているグループをルックアップするためのSQL文。このSQL文にはユーザー名またはグループ名のパラメータが1つ必要です。一致するグループの名前を格納したresultSetを戻します。

SQL - グループの説明の取得(「サポートされている説明」が有効な場合)

SELECT G_DESCRIPTION FROM GROUPS WHERE G_NAME = ?

グループの説明を取得するためのSQL文。「サポートされている説明」が有効になっている場合にのみ有効です。このSQL文にはグループ名のパラメータが1つ必要です。グループの説明を含む最大1つのレコードを格納したresultSetが戻されます。

注意:

異なる表構造を使用する場合は、これらのSQL文(表および列の名前)を独自のスキーマに合せて変更する必要がある場合があります。また疑問符(?)を、(ユーザー名やグループ名をハードコードするかわりに)ランタイム問合せのプレースホルダとして維持する必要もあります。

Oracle WebLogic Serverでの認証プロバイダの構成の詳細は、『Oracle Fusion Middleware Oracle WebLogic Serverの保護』を参照してください。

9. 必要なすべてのSQL文を、使用する認証プロバイダに入力します。

10. 「保存」をクリックします。

11. 次の手順に従って認証プロバイダを並べ替えます。

1. 「プロバイダ」タブを表示します。

2. 「並替え」をクリックし、「認証プロバイダの並替え」ページを表示します。

3. 「BISQLGroupProvider」を選択し、矢印ボタンを使用してこれをリストの最初に移動します。

4. 「OK」をクリックして変更内容を保存します。

12. 次の手順を実行し、BISQLGroupProviderの「制御フラグ」設定を構成します。

1. メインの「myrealmの設定」ページで、「プロバイダ」タブ→「認証」サブタブを表示し、「BISQLGroupProvider」を選択して、その構成ページを表示します。

2. 「構成」→「共通」タブを表示し、「制御フラグ」リストで「OPTIONAL」を選択します。
詳細は、第3.4.6項「JAAS制御フラグ・オプションの設定」を参照してください。

3. 「保存」をクリックします。

13. チェンジ・センターで、変更のアクティブ化をクリックします。

14. (管理サーバーが再起動したらFusion Middleware Controlを使用して) Oracle Business Intelligenceコンポーネント、Oracle WebLogic Serverおよび管理対象サーバーを再起動します。

注意:

「ユーザーとグループ」タブをチェックして、データベースのユーザーとグループが表示されていることを確認します。

3.4.4.4 仮想アイデンティティ・ストアの構成

仮想アイデンティティ・ストアを次のように構成します。

- 第3.4.4.4.1項「アイデンティティ・ストアの構成による仮想化の有効化」

- 第3.4.4.4.2項「LDAPに対するSSLの構成」

- 第3.4.4.4.3項「グループ情報を取得するためのデータベース・アダプタの構成」

3.4.4.4.1 アイデンティティ・ストアの構成による仮想化の有効化

アイデンティティ・ストアを構成して仮想化を有効にすることにより、アイデンティティ・ストア・サービスで複数のアイデンティティ・ストアを使用できるようになり、ユーザー・プロファイル情報を様々な認証プロバイダ(アイデンティティ・ストア)に分散できます。

詳細は、第3.4.5項「Fusion Middleware Controlの使用による複数の認証プロバイダの構成」を参照してください。

3.4.4.4.2 LDAPに対するSSLの構成

SSL(一方向SSLのみ)で通信するためにLDAP認証プロバイダを構成した場合、仮想化(libOVD)機能で使用される追加キーストアに、該当するLDAPサーバーのルート証明書を配置する必要があります。

詳細は、第5.4.6項「複数認証プロバイダ使用時のSSLの構成」を参照してください。

3.4.4.4.3 グループ情報を取得するためのデータベース・アダプタの構成

LDAPサーバーのように表示されるようデータベース・アダプタを構成します。これにより、仮想アイデンティティ・ストア・プロバイダは、そのデータベース・アダプタを使用してグループ情報をデータベースから取得できます。

グループ情報を取得するようデータベース・アダプタを構成するには:

このタスクは、データベース表をアイデンティティ・ストアとして使用し、グループをマップする方法を指定する、アダプタ・テンプレートを編集して適用する方法を示しています。

1. bi_sql_groups_adapter_template.xmlという名前のファイルを作成します。
このファイルは、GROUPMEMBERS表から仮想LDAPストアへのマッピングを記述します。

2. ファイルに次の内容が含まれていることを確認します。

注意:

次の太字で示しているセクションは、独自の表と列の属性がLDAPサーバーの属性と一致するように変更する必要があります。ここに示す例は、第3.4.4項全体で使用するサンプル・スキーマのものです。

注意:

要素<param name="ReplaceAttribute" value="uniquemember={cn=%uniquemember%,cn=users,dc=oracle,dc=com}"/>は、メイン認証プロバイダのユーザー属性およびルート・ユーザーDNと一致する必要があります。たとえば、デフォルトの認証プロバイダの場合は、uid=%uniquemember%,ou=people,ou=myrealm,dc=bifoundation_domainである必要があります。

<?xml version = '1.0' encoding = 'UTF-8'?>
<adapters schvers="303" version="1" xmlns="http://www.octetstring.com/schemas/Adapters" xmlns:adapters="http://www.w3.org/2001/XMLSchema-instance">
<dataBase id="directoryType" version="0">
<root>%ROOT%</root>
<active>true</active>
<serverType>directoryType</serverType>
<routing>
<critical>true</critical>
<priority>50</priority>
<inclusionFilter/>
<exclusionFilter/>
<plugin/>
<retrieve/>
<store/>
<visible>Yes</visible>
<levels>-1</levels>
<bind>true</bind>
<bind-adapters/>
<views/>
<dnpattern/>
</routing>
<pluginChains xmlns="http://xmlns.oracle.com/iam/management/ovd/config/plugins">
<plugins>
<plugin>
<name>VirtualAttribute</name>
<class>oracle.ods.virtualization.engine.chain.plugins.virtualattr.VirtualAttributePlugin</class>
<initParams>
<param name="ReplaceAttribute" value="uniquemember={cn=%uniquemember%,cn=users,dc=oracle,dc=com}"/>
</initParams>
</plugin>
</plugins>
<default>
<plugin name="VirtualAttribute"/>
</default>
<add/>
<bind/>
<delete/>
<get/>
<modify/>
<rename/>
</pluginChains>
<driver>oracle.jdbc.driver.OracleDriver</driver>
<url>%URL%</url>
<user>%USER%</user>
<password>%PASSWORD%</password>
<ignoreObjectClassOnModify>false</ignoreObjectClassOnModify>
<includeInheritedObjectClasses>true</includeInheritedObjectClasses>
<maxConnections>10</maxConnections>
<mapping>
<joins/>
<objectClass name="groupofuniquenames" rdn="cn">
<attribute ldap="cn" table="GROUPMEMBERS" field="G_NAME" type=""/>
<attribute ldap="description" table="GROUPMEMBERS" field="G_NAME" type=""/>
<attribute ldap="uniquemember" table="GROUPMEMBERS" field="G_MEMBER" type=""/>
</objectClass>
</mapping>
<useCaseInsensitiveSearch>true</useCaseInsensitiveSearch>
<connectionWaitTimeout>10</connectionWaitTimeout>
<oracleNetConnectTimeout>0</oracleNetConnectTimeout>
<validateConnection>false</validateConnection>
</dataBase>
</adapters>

3. 次の要素について、太字で示した適切なセクションをカスタマイズします。

- ReplaceAttribute
グループで一意のメンバーを定義する方法を指定します(%uniquemember%は、ユーザーがグループのメンバーかどうかをルックアップする際の実行時に渡される値のプレースホルダ)

この要素について変更する唯一の点は、ユーザーのルートの指定です。概念的には、libovdadapterconfigスクリプトをステップ10で実行する際にユーザー移入のルートとして指定するものにデフォルトで一致する必要があります。

- groupofuniquenenames
ユーザー同様、グループ属性をデータベース・フィールドにマップする方法を指定します。この属性は、Weblogicの組込みLDAPのデフォルトに対応します。

次の属性をマップする必要があります。

- cn (グループの一意の名前にマップする)

- uniquemember (データベース・スキーマのユーザー/グループ・マッピング表におけるユーザーの一意の名前にマップする)

次の属性のマップはオプションです。

- descriptionはオプション(ただし明らかに有用な情報です)

- orclguid (データベース・スキーマで利用可能な場合はUIDにマップする)

その他の属性は、ユーザーは構成できません。

4. アダプタ・ファイルを次のフォルダにコピーします。
<MW_HOME>/oracle_common/modules/oracle.ovd_11.1.1/templates/

5. 次の場所でコマンド・プロンプトまたはターミナルを開きます。
<MW_HOME>/oracle_common/bin

6. 次の環境変数が設定されていることを確認します。

- ORACLE_HOME=<MW_HOME>/Oracle_BI1

- WL_HOME=<MW_HOME>/wlserver_10.3/

- JAVA_HOME=<MW_HOME>/jdk160_24/

7. libovdadapterconfigスクリプトを実行し、テンプレート・ファイルからデータベース・アダプタを作成します。次に構文を示します。

libovdadapterconfig -adapterName <name of adapter> -adapterTemplate <name (NOT including path) of template file which defines adapater> -host localhost -port <Admin Server port> -userName <user id of account which has administrative privileges in the domain> -domainPath <path to the BI domain> -dataStore DB -root <nominal specification of a pseudo-LDAP query to treat as the "root" of this adapter - must match that specified in template for adapter 2 above> -contextName default -dataSourceJNDIName <JNDI name for DataSource which points at the database being mapped>

例:

./libovdadapterconfig.sh -adapterName biSQLGroupAdapter -adapterTemplate bi_sql_groups_adapter_template.xml -host localhost -port 7001 -userName weblogic -domainPath /opt/oracle_bi/user_projects/domains/bifoundation_domain/ -dataStore DB -root cn=users,dc=oracle,dc=com -contextName default -dataSourceJNDIName jdbc/BIDatabaseGroupDS

注意:

dataSourceJNDINameは単なるDS名ではなく、JNDI名である必要があります。

注意:

rootパラメータの値は、アダプタ・テンプレートの<param name="replaceattribute"要素に指定されたroot dnと一致する必要があります。たとえば、デフォルトの認証プロバイダにユーザーが指定されている場合、rootは通常ou=people, ou=myrealm, dc=bifoundation_domainに設定されます。

スクリプトはエラーなしで終了する必要があります。

8. WebLogic管理サーバーおよび管理対象サーバーを再起動します。

注意:

WebLogicを起動するときに次の警告が表示されますが、これは無視できます。「警告: BISQLGroupsProvider: 接続プールが使用できません。」

これで、データベースに格納された資格証明を使用して、WebLogicおよびOracle Business Intelligenceにログインできるはずです。

3.4.4.5 アプリケーション・ロールへのデータベース・グループの追加による構成のテスト

アプリケーション・ロールにデータベース・グループを追加することによって構成をテストするには:

1. Fusion Middleware Controlにログインし、ページの左側にあるナビゲーション・メニューでWebLogicドメインを開き、bifoundation_domainを開きます。
詳細は、第1.6.2項「Oracle Fusion Middleware Controlの使用」を参照してください。

2. 「bifoundation_domain」を右クリックして「セキュリティ」→「アプリケーション・ロール」を選択し、「アプリケーション・ロール構成」ページを表示します。

3. LDAPユーザーを含むデータベース・グループを、ユーザーに現在アクセス権が付与されていない、いずれかのアプリケーション・ロール(BIAdministratorなど)に追加します。

4. アプリケーション・ロールに新しく追加されたグループのメンバーであるユーザーとして、Oracle Business Intelligenceにログインします。
ページの右上に、「<user id>としてログイン」というテキストが表示されます。

5. ユーザーIDをクリックしてドロップダウン・メニューを表示します。

6. メニューから「マイ・アカウント」を選択します。

7. 「ロールおよびカタログ・グループ」タブを表示し、ユーザーに新しいアプリケーション・ロールが割り当てられていることを確認します。

3.4.4.6 アダプタのエラーの修正

既存のデータベース・アダプタは修正しないでください。アダプタの作成で使用するテンプレートやlibovdadapterコマンドでエラーが発生した場合は、アダプタを削除してから再作成する必要があります。

詳細は、第3.4.3.6項「アダプタの削除および再作成によるデータベース・アダプタ・エラーの修正」を参照してください。

3.4.5 Fusion Middleware Controlの使用による複数の認証プロバイダの構成

この項では、Fusion Middleware Controlを使用して、複数の認証プロバイダを使用するためにOracle Business Intelligenceを構成する方法について説明します。

Fusion Middleware Controlを使用して複数の認証プロバイダを構成するには:

SSLでLDAPと通信している場合(一方向SSLのみ)は、第5.4.6項「複数認証プロバイダ使用時のSSLの構成」を参照してください。

1. (オプション)サポートされている認証プロバイダがまだ構成されていない場合は、第3.4項の説明に従って構成します。

2. Fusion Middleware Controlにログインします。
詳細は、第1.6.2項「Oracle Fusion Middleware Controlの使用」を参照してください。

3. ナビゲーション・ペインから「WebLogicドメイン」フォルダを展開し、「bifoundation_domain」を選択します。

4. 「bifoundation_domain」を右クリックして「セキュリティ」→「セキュリティ・プロバイダ構成」を選択し、「セキュリティ・プロバイダ構成」ページを表示します。

5. 「アイデンティティ・ストア・プロバイダ」領域で「構成」をクリックし、「アイデンティティ・ストア構成」ページを表示します。

6. 「カスタム・プロパティ」領域で「追加」オプションを使用し、次のように新しいカスタム・プロパティを追加します。
プロパティ名=virtualize

値=true

注意:

複数の認証プロバイダを使用している場合は、第3.4項「代替認証プロバイダの構成」に移動して、「制御フラグ」設定を次にように構成します。

- 各ユーザーが1つの認証プロバイダにのみ表示される場合
すべての認証プロバイダで「制御フラグ」の値を「SUFFICIENT」に設定します。

- ユーザーが複数の認証プロバイダに表示される場合(ユーザーのグループ・メンバーシップが複数の認証プロバイダに分散している場合など)
すべての認証プロバイダで「制御フラグ」の値を「OPTIONAL」に設定します。

7. 「OK」をクリックして変更を保存します。

8. 管理サーバーおよび管理対象サーバーを再起動します。

3.4.6 JAAS制御フラグ・オプションの設定

複数の認証プロバイダを構成する場合、各プロバイダに対してJAAS制御フラグを使用して、ログイン・シーケンスでの認証プロバイダの使用方法を制御します。JAAS制御フラグはOracle WebLogic Server管理コンソールで設定できます。詳細は、Oracle Fusion Middleware Oracle WebLogic Server管理コンソールのオンライン・ヘルプでJAAS制御フラグの設定に関する項を参照してください。WebLogic Scripting ToolやJava Management Extensions (JMX) APIを使用しても、認証プロバイダに対してJAAS制御フラグを設定できます。

認証プロバイダの制御フラグの属性を設定すると、認証プロバイダの実行順序が決まります。制御フラグ属性に使用可能な値は次のとおりです。

- REQUIRED - このLoginModuleは成功する必要があります。失敗した場合でも、認証は、構成された認証プロバイダのLoginModulesリストの下位方向へ進みます。この設定がデフォルトです。

- REQUISITE - このLoginModuleは成功する必要があります。他の認証プロバイダが構成されていて、このLoginModuleが成功した場合、認証はLoginModulesリストを下位方向へ進みます。それ以外の場合は、制御がアプリケーションに戻ります。

- SUFFICIENT - このLoginModuleは成功する必要はありません。成功した場合、制御はアプリケーションに戻ります。失敗した場合、他の認証プロバイダが構成されていれば、認証はLoginModuleリストを下位方向に進みます。

- OPTIONAL - このLoginModuleは成功でも失敗でもかまいません。ただし、JAAS制御フラグがOPTIONALに設定されたセキュリティ・レルムですべての認証プロバイダが構成されている場合は、ユーザーは構成されたいずれかのプロバイダの認証テストに合格する必要があります。

既存のセキュリティ・レルムに認証プロバイダを追加した場合、制御フラグはデフォルトでOPTIONALに設定されます。各認証プロバイダが認証シーケンスで適切に動作するよう、必要に応じて制御フラグの設定と認証プロバイダの順序を変更します。

3.4.7 認証プロバイダとしての単一のLDAP認証プロバイダの構成

このトピックでは、デフォルトのWebLogic Server LDAP認証プロバイダを無効にして、単一のLDAP認証プロバイダを使用するようOracle Business Intelligenceを再構成する方法を説明します。

Oracle Business Intelligenceをインストールすると、システムは自動的に、デフォルトの認証プロバイダとしてWebLogic Server LDAPを使用するように構成されます。インストール・プロセスでは、WebLogic Server LDAPで必要なユーザーおよびグループが自動的に生成されます。ただし、独自のLDAPディレクトリ(Oracle Internet Directoryなど)があり、それをデフォルトの認証プロバイダとして使用することも、WebLogic Serverのデフォルト認証プロバイダを無効にすることもできます。単一ソースの認証プロバイダを持つことにより、ユーザー名およびパスワードを複数の認証ソースから取得しないようにすることができます。複数の認証ソースから取得すると、複数の攻撃点が生じたり、認可されていないユーザーの侵入が可能になる場合があります。

このトピックには、次の項が含まれています。

- 第3.4.7.1項「唯一の認証プロバイダとしてのOracle Internet Directory LDAP認証の構成」

- 第3.4.7.2項「トラブルシューティング」

3.4.7.1 唯一の認証プロバイダとしてのOracle Internet Directory LDAP認証の構成

この項に示す例はOracle Internet Directory (OID LDAP)を構成するためのものですが、若干変更を加えることによって、他のLDAP認証プロバイダに簡単に適用できます。

唯一の認証プロバイダとしてOracle Internet DirectoryのLDAP認証を構成するには:

- タスク1「バックアップおよびリカバリの有効化」

- タスク2「WebLogic Serverおよび代替認証プロバイダを使用するためのシステムの構成」

- タスク3「OID LDAPでの必須ユーザーの特定または作成」

- タスク4「OID LDAPでの必須グループの特定または作成」

- タスク5「WebLogicコンソールでのOID LDAPグループとグローバル・ロールとの関連付け」

- タスク6「OID LDAPでのユーザーからグループへのメンバーシップの設定」

- タスク7「Fusion Middleware ControlでのOID LDAPユーザーおよびグループのアプリケーション・ロール・メンバーシップの設定」

- タスク8「新しい信頼できるシステム・ユーザーの資格証明ストア・パスワードの更新」

- タスク9「デフォルトの認証プロバイダの削除」

- タスク10「(オプション)古いGUID参照の削除」

- タスク11「BIサービスの再起動」

- タスク12「単一OID LDAP認証後の設定タスク」

- タスク13「代替認証メソッドの停止」

タスク1   バックアップおよびリカバリの有効化

WebLogic Server LDAPのデフォルトの認証メソッドを無効にするプロセスを開始する前に、まずシステムをバックアップすることを強くお薦めします。バックアップしないと、構成時に間違えた場合に、システムからロックアウトされたり、システムを再起動できなくなることがあります。

再構成フェーズでバックアップおよびリカバリを有効にするには、<BIEE_HOME>\user_projects\domains\bifoundation_domain\configディレクトリにあるconfig.xmlファイルのコピーをとります。

変更を行う際は、このファイルのコピーを保持しておくことをお薦めします。

タスク2   WebLogic Serverおよび代替認証プロバイダを使用するためのシステムの構成

デフォルトのWebLogic Server認証プロバイダを削除し、代替LDAPソース(OID LDAPなど)を使用するには、WebLogic Serverと代替メソッドの両方を使用するようにシステムを構成する必要があります。詳細は、第3.4項「代替認証プロバイダの構成」を参照してください。WebLogic Server LDAPユーザー(デフォルトの認証プロバイダ)と新しい代替LDAPユーザーがともにOracle Business Intelligenceにアクセスできるように構成されている状態から開始します。

WebLogic Server LDAPユーザーとしてもOID LDAPユーザーとしてもログオンできるようにシステムを構成したら、次の各タスクの説明のとおり、WebLogic Serverのデフォルト認証プロバイダを削除する手順に進みます。

タスク3   OID LDAPでの必須ユーザーの特定または作成

表3-4に示す必須ユーザーが、WebLogic Server LDAPからOID LDAPに移行されていることを確認する必要があります。

表3-4 OID LDAPでの必須ユーザー

標準のWebLogic Serverユーザー

OID LDAPで新たに必要とされるユーザー

BISystemUser

OID_BISystemUser (任意の既存OID LDAPユーザーにできます)

WebLogic

OID_Weblogic (任意の既存OID LDAPユーザーにできます)

OracleSystemUser

OracleSystemUser (このユーザーはOID LDAPにおいてこの名前で存在する必要があります - OWSMの固定要件)

インストール時に次の3つのユーザーが作成されます。

- BISystemUser
このユーザーはWebLogic Serverに作成され、Presentation ServicesおよびOracle Business Intelligenceのコンポーネント間の通信に使用されます。OID LDAPで同等なユーザーを作成または特定する必要があります(OID_BISystemUserなど)。ここで使用するパスワードは、セキュリティ・パスワードの規格に準拠したものにしてください(welcome1などは使用しないでください)。

- Weblogic (インストール時またはアップグレード時に指定されるため、異なる場合があります)
この管理者ユーザーはインストール時に作成されます(Weblogicと呼ばれることもありますが、任意の名前でかまいません)。OID LDAPで同等のユーザーを特定または作成する必要がありますが、このユーザーは任意の名前でかまいません。

- OracleSystemUser
このユーザーは、(Oracle Web Services Manager (OWSM)で)特にグローバル・ロール・マッピングのために必要です。このユーザーは、OID LDAPでこの名前で作成する必要があります。

タスク4   OID LDAPでの必須グループの特定または作成

表3-5に示す必須グループは、OID LDAPディレクトリで必要です。

表3-5 必須グループ

自動的に作成されるWebLogic Serverグループ

新たに必要とされるOID LDAPグループ

Administrators

OID_Administrators

AdminChannelUsers

OID_AdminChannelUsers

AppTesters

OID_AppTesters

CrossDomainConnectors

OID_CrossDomainConnectors

Deployers

OID_Deployers

Monitors

OID_Monitors

Operators

OID_Operators

OracleSystemGroup

OracleSystemGroup (固定要件)

BIAdministrator

OID_BIAdministrators

BIAuthor

OID_BIAuthors

BIConsumer

OID_BIConsumers

表3-5のグループは、デフォルトのOracle Business Intelligenceインストール・プロセスの際にWebLogic Serverで自動的に作成されます。

デフォルトのWebLogic Server認証を削除する前に、WebLogic Serverグループに替わるOID LDAPグループを特定する必要があります。(表3-5の) WebLogic Serverグループごとに個別のOID LDAPグループを持つか、単一のOID LDAPグループを使用して1つまたは多数のWebLogic Serverグループと置換するかを選択できます。

現在唯一の特定の要件として、OID LDAPでOracleSystemGroupとしてこの名前でグループを定義する必要があります(OWSM要件)。

タスク5   WebLogicコンソールでのOID LDAPグループとグローバル・ロールとの関連付け

表3-6に示すグローバル・ロール・マッピングを、OID LDAPで構成する必要があります。

表3-6 WebLogic管理コンソールでのグローバル・ロール・マッピング

グローバル・ロール

現在のWebLogic Serverグループ

新たに必要とされるOID LDAPグループ

Admin

Administrators

OID_Administrators

AdminChannelUsers

AdminChannelUsers

OID_AdminChannelUsers

AppTester

AppTesters

OID_AppTesters

CrossDomainConnector

CrossDomainConnectors

OID_CrossDomainConnectors

Deployer

Deployers

OID_Deployers

Monitor

Monitors

OID_Monitors

Operator

Operators

OID_Operators

OracleSystemRole

OracleSystemGroup

OracleSystemGroup (固定要件)

デフォルトのWebLogic Server認証プロバイダを無効にする前に、(WebLogic Server管理コンソールに表示されている)表3-6のグローバル・ロールと、(タスク4で定義した)置換OID LDAPグループを関連付ける必要があります。

Oracle WebLogic Server管理コンソールでOID LDAPグループとグローバル・ロールを関連付けるには:

1. Oracle WebLogic Server管理コンソールにログインし、「チェンジ・センター」で「ロックして編集」をクリックします。
詳細は、第1.6.1項「Oracle WebLogic Server管理コンソールの使用」を参照してください。

2. 左ペインで「セキュリティ・レルム」を選択し、「myrealm」をクリックします。
デフォルトのセキュリティ・レルムはmyrealmという名前です。

3. 「レルム・ロール」をクリックします。

4. 「グローバル・ロール」をクリックし、「ロール」を開きます。

5. 次のように、各ロールに対し、新しい条件を追加します。

注意:

AnonymousおよびOracle Systemロールには、新しい条件を追加しないでください。どちらも変更されないままになることがあります。

1. 「ロール条件の表示」をクリックします。

2. 「述部リスト」ドロップダウンからグループを選択します。

3. 表3-5の新たに関連付けられるOID LDAPグループを入力します。
たとえば、AdminロールをOID_Administratorsロールに関連付けます。

注意:

デフォルトのWebLogic Server認証を正常に無効にしたら、ここに戻って古いWebLogic Serverグループを削除できます(たとえばここでは、グループAdministratorsを削除します)。詳細は、タスク12「単一OID LDAP認証後の設定タスク」を参照してください。

4. 変更内容を保存します。

タスク6   OID LDAPでのユーザーからグループへのメンバーシップの設定

OID LDAPで新しいユーザーおよびグループを作成し、WebLogic Server LDAPで自動的に作成されたユーザーおよびグループをレプリケートしたので、次に、これらのユーザーおよびグループが、OID LDAPにおいても、表3-7に示すとおり正しいグループ・メンバーシップを持っていることを確認する必要があります。

表3-7 OID LDAPで必要なユーザーからグループへのメンバーシップ

新しいOID LDAPユーザー

メンバーとなる新しいOID LDAPグループ

OID_Weblogic

OID_Administrators

OID_BIAdministrators

OracleSystemUser

注意: この名前のユーザーがOID LDAPに存在する必要があります。

OracleSystemGroup

注意: この名前のグループがOID LDAPに存在する必要があります。

注意:

表3-7に示すユーザーとグループのメンバーシップを実現するには、OID LDAPサーバーを更新できる適切なアクセス権を持つか、別の担当者がかわりにグループのメンバーシップを更新できる必要があります。

タスク7   Fusion Middleware ControlでのOID LDAPユーザーおよびグループのアプリケーション・ロール・メンバーシップの設定

Fusion Middleware Controlを使用して、(表3-8にある)作成したばかりのOID LDAPユーザーおよびグループを既存のアプリケーション・ロールのメンバーとして追加する必要があります。

表3-8 必要なOID LDAPユーザーおよびグループのアプリケーション・ロール・メンバーシップ

既存のWebLogic Serverアプリケーション・ロールのメンバー

新しいOID LDAPユーザーおよびグループ

BISystem

OID_BISystemUser (OIDユーザー)

BIAdministrator

OID_BIAdministrators (OIDグループ)

BIAuthor

OID_BIAuthors (OIDグループ)

BIConsumer

OID_BIConsumers (OIDグループ)

Fusion Middleware Controlを使用して必要なOID LDAPユーザーおよびグループのアプリケーション・ロール・メンバーシップを設定するには:

1. Fusion Middleware Controlにログインします。
詳細は、第1.6.2項「Oracle Fusion Middleware Controlの使用」を参照してください。

2. ナビゲーション・ペインから「Business Intelligence」フォルダを展開し、「coreapplication」を選択します。

3. Oracle Business Intelligenceの「アプリケーション・ロール」を表示します。
詳細は、第2.4.1項「Fusion Middleware Controlの使用によるアプリケーション・ポリシーおよびアプリケーション・ロールの表示」を参照してください。

4. 次のようにメンバーをアプリケーション・ロールに割り当てます。

注意: グループをBISystemアプリケーション・ロールに割り当てることはできますが、セキュリティ保護のため、このロールにはユーザーのみを割り当ててください。

注意:

この時点でBISystemUserをBISystemアプリケーション・ロールのメンバーから削除することをお薦めします。

タスク8   新しい信頼できるシステム・ユーザーの資格証明ストア・パスワードの更新

OID LDAPでBISystemUserに対して作成したユーザー名およびパスワードは、タスク3「OID LDAPでの必須ユーザーの特定または作成」で作成したもの(OID_BISystemUser用など)と同じである必要があります。

新しいOID_BISystemUserの資格証明ストア・パスワードを更新するには:

1. Fusion Middleware Controlにログインします。
詳細は、第1.6.2項「Oracle Fusion Middleware Controlの使用」を参照してください。

2. ナビゲーション・ペインから「WebLogicドメイン」フォルダを展開し、「bifoundation_domain」を選択します。

3. メイン・ペインで「WebLogicドメイン」をクリックしてメニューを表示し、「セキュリティ」→「資格証明」を選択して、「資格証明」ページを表示します。

4. 「oracle.bi.system」を開き、「system.user」を選択します。

5. 「編集」をクリックし、「キーの編集」ダイアログを表示します。

6. 新しいユーザー名およびパスワードを入力します。

7. 「OK」をクリックします。

タスク9   デフォルトの認証プロバイダの削除

これでデフォルトの認証プロバイダを削除する準備が整いました。

デフォルトの認証プロバイダを削除するには:

まずLDAPソースにマップするLDAP認証プロバイダを作成しておく必要があります(詳細は、タスク2「WebLogic Serverおよび代替認証プロバイダを使用するためのシステムの構成」を参照)。

1. Oracle WebLogic Server管理コンソールで、「制御フラグ」を「SUFFICIENT」から「REQUIRED」に変更します。
詳細は、第3.4.6項「JAAS制御フラグ・オプションの設定」を参照してください。

2. 変更を保存します。

3. 他の認証プロバイダを削除し、OID LDAP認証プロバイダが単一ソースとなるようにします。

タスク10   (オプション)古いGUID参照の削除

初めてOID LDAPを使用している場合、つまり、(11gにアップグレードした)10g LDAP認証からOID LDAP認証に移行している場合は、このタスクを実行します。これにより、システム・ユーザーGUID (Global Unique Identifier)を再同期します。再同期しない場合、ログインできず、次のエラー・メッセージが表示されます。

ユーザー{username}のGUIDは、リポジトリのユーザー参照GUIDと一致しません。リポジトリの旧ユーザー参照の削除を管理者に依頼し、再度ログインしてください。

古いGUID参照を削除するには:

1. すべてのOracle Business Intelligenceサービスを停止します。
Windowsで「BIサービスの停止」メニュー・オプションを使用し、インストール時に指定した元の管理ユーザー名およびパスワード(weblogic/welcome1など)を指定します。

2. 管理ツールで、11gで使用しているリポジトリ・ファイルをオフライン・モードで開きます。

3. メニューから「管理」および「アイデンティティ」を選択します。

4. 「BIリポジトリ」をクリックし、「ユーザー」タブを表示します。

5. すべてのユーザーを選択し、これらを削除します。

注意:

特定ユーザーのリポジトリ・ファイルで定義された特定の権限がある場合、これらは失われます。この場合、Business Intelligenceシステムを起動する際、LDAP (OID)ソースでユーザー・レベルの権限をこれらのユーザーに再度関連付ける必要があります。これにより、同じ名前の(同一人物ではない)ユーザーが、別のユーザーとして正しく識別されます。

タスク11   BIサービスの再起動

これでBIサービスを再起動する準備が整いました。インストール時に作成したWebLogic Server管理ユーザーは削除され、すべてのユーザーが単一OIDソースに存在するため、新しいOID管理者ユーザー(OID_Weblogicなど)を使用する必要があります。OID管理ユーザーには、WebLogicを起動するために十分な権限が必要です(グローバルAdminロールによって付与されます)。

注意:

オンラインで管理ツールにログインする際は、リポジトリ・パスワードとともにOID LDAPユーザーとパスワード(OID_Weblogicなど)を指定する必要があります。

タスク12   単一OID LDAP認証後の設定タスク

すべて正常に機能している場合、このタスクを完了させます。

注意:

この手順を実行する前に、config.xmlをバックアップしてください(タスク1「バックアップおよびリカバリの有効化」を参照)。

自動的に作成されたすべてのWebLogic ServerロールをOR句から削除するには:

1. グローバル・ロールを編集します。
詳細は、タスク5「WebLogicコンソールでのOID LDAPグループとグローバル・ロールとの関連付け」を参照してください。

2. 自動的に作成されたすべてのWebLogic ServerロールをOR句から削除します。
例:

- Admin

- AdminChannelUsers

- AppTester

- CrossDomainConnector

- Deployer

- Monitor

- Operator

3. 変更内容を保存します。

タスク13   代替認証メソッドの停止

Oracle Business Intelligenceでは、様々な形式の認証方式を一括適用できます。望ましい機能にも思えますが、セキュリティ上のリスクも伴います。単一ソースの認証を実装するには、初期化ブロックを使用する認証メソッドをメタデータ・リポジトリから削除する必要があります。

すべての初期化ブロック認証アクセスを停止するには:

Oracle BI管理ツールを使用して、初期化ブロックを介したアクセスを停止します。正常な認証を行うにはユーザー名が必要です。初期化ブロックでは、USERという特殊なシステム・セッション変数を使用してユーザー名を移入します。

1. メタデータ・リポジトリからシステム変数USERを削除します。

2. メタデータ・リポジトリの初期化ブロックで「認証のために必要」チェック・ボックスが選択されていないことを確認します。

3. システム・セッション変数PROXYおよびPROXYLEVELを設定するメタデータ・リポジトリの初期化ブロックが、ユーザーにセキュリティの無視を許可していないことを確認します。
システム変数PROXYおよびPROXYLEVELは、一度接続されたユーザーが他のユーザーのセキュリティ・プロファイルでそのユーザーになりすますことを許可します。このメソッドは、偽装されたユーザー・アカウントの方が低い権限を持っている場合は受け入れられますが、このアカウントの方が高い権限を持っている場合はセキュリティの問題となる可能性があります。

注意: 初期化ブロックを無効にする場合、依存する初期化ブロックも無効になります。

これで、初期化ブロック認証を使用して試みられるアクセスは成功しなくなります。ただし、すべての初期化ブロックをチェックする必要があります。

3.4.7.2 トラブルシューティング

単一ソースとしてOracle Internet Directory LDAP認証を構成すると、次のエラーが発生する場合があります。

<クリティカル> <WebLogicServer> <BEA-000386> <サーバー・サブシステムに障害が発生しました。

理由: weblogic.security.SecurityInitializationException: ユーザー<oidweblogic>はサーバーの起動を許可されていません。ユーザーがサーバーを起動できなくなるようにサーバーのポリシーが変更されていることが考えられます。管理ユーザー・アカウントでサーバーを再起動するか、システム管理者に連絡してサーバーのポリシー定義を更新してください。

解決方法

新しいWebLogic OID LDAP管理者(oidweblogic)としてシステムを再起動した場合に、ロックアウトされ、メッセージが表示された場合は、oidweblogicユーザーに十分な権限がなかったことが原因です。oidweblogicユーザーにはグローバルAdminロールが必要です。これにより、OID LDAP Administratorグループに所属することが可能になります。この問題を解決するには、BIAdministratorsグループ(またはOID LDAPの同等グループ)をグローバルAdminロールに追加します。

注意:

以前の作業構成をリストアするには、最新の更新されたバージョンのconfig.xmlファイルを、構成を変更する前に作成しておいたバックアップ・バージョンに置き換える必要があります(詳細は、タスク1「バックアップおよびリカバリの有効化」を参照)。

バックアップ・バージョンのconfig.xmlファイルのリストアを完了するには、OID LDAPユーザーではなく、元のWebLogic管理者ユーザーとしてOracle Business Intelligenceを再起動します。

3.5 アイデンティティ・ストアでのユーザーおよびグループ名属性の構成

このトピックには、次の項が含まれています。

- 第3.5.1項「アイデンティティ・ストアでのユーザー名属性の構成」

- 第3.5.2項「(Active Directory用オプション)グループ名属性の変更」

3.5.1 アイデンティティ・ストアでのユーザー名属性の構成

Oracle Internet Directory (OID LDAP)やActive Directory (AD)などの代替認証プロバイダを構成する場合、アイデンティティ・ストアで使用するユーザー名属性と代替認証プロバイダで使用するユーザー名属性を一致させる必要があります。

たとえば、ユーザーの電子メール・アドレスを使用して認証するには、アイデンティティ・ストアと認証プロバイダの両方で、ユーザー名属性をmailに設定します。

図3-4は、OID LDAP認証プロバイダの「ユーザー名属性」が「mail」に設定されている例を示しています。

図3-4 例: 「プロバイダ固有」タブ

「図3-4 例: 「プロバイダ固有」タブ」の説明

代替認証プロバイダのUserNameAttributeは、通常、cnの値に設定されています。このように設定されていない場合、AllUsersFilterおよびUserFromNameFilterの設定が表3-9のとおり正しく構成されていることを確認する必要があります。表3-9は、デフォルトの設定(cnの値を使用)および、必要となる新しい設定(属性AnOtherUserAttributeで新しい値を使用)を示しています。

表3-9 ユーザー名属性の変更

属性名

デフォルト設定

必要となる新しい設定

UserNameAttribute

cn

AnOtherUserAttribute

AllUsersFilter

(&(cn=*)(objectclass=person))

(&(AnOtherUserAttribute =*)(objectclass=person))

UserFromNameFilter

(&(cn=%u)(objectclass=person))

(&(AnOtherUserAttribute =%u)(objectclass=person))

「プロバイダ固有」タブで、表3-9を使用して変更を行います(AnOtherGroupAttribute設定を独自の値で置換します)。「プロバイダ固有」タブの表示方法の詳細は、第3.4項「代替認証プロバイダの構成」を参照してください。

注意:

UserName属性についてのみ、次のタスクを使用して2つのプロパティ(user.login.attrおよびusername.attr)をアイデンティティ・ストア構成に追加する必要があります。この指定により、アイデンティティ・ストアにユーザー名の取得元となる属性が伝達されます。属性が指定されていない場合、デフォルトではuidになります。

アイデンティティ・ストアでユーザー名属性を構成するには:

1. Fusion Middleware Controlにログインします。
詳細は、第1.6.2項「Oracle Fusion Middleware Controlの使用」を参照してください。

2. ナビゲーション・ペインから「WebLogicドメイン」フォルダを展開し、「bifoundation_domain」を選択します。

3. 「bifoundation_domain」を右クリックして「セキュリティ」→「セキュリティ・プロバイダ構成」を選択し、「セキュリティ・プロバイダ構成」ページを表示します。

4. 「アイデンティティ・ストア・プロバイダ」領域で「構成」をクリックし、「アイデンティティ・ストア構成」ページを表示します。

5. 「カスタム・プロパティ」領域で「追加」をクリックし、表3-10に記載されているカスタム・プロパティを追加します。

表3-10 カスタム・プロパティ

プロパティ名

値

user.login.attr

認証プロバイダで設定されているユーザー名属性を指定します。たとえば、認証プロバイダでユーザー名属性がmailに設定されている場合、この値をmailに設定します。

username.attr

認証プロバイダで設定されているユーザー名属性を指定します。たとえば、認証プロバイダでユーザー名属性がmailに設定されている場合、この値をmailに設定します。

図3-5は、ユーザー名属性がmailに設定されたカスタム・プロパティの例を示しています。

図3-5 カスタム・プロパティ: ユーザー名属性

6. 「OK」をクリックして変更を保存します。

7. 管理サーバーを再起動します。

注意:

第3.2項「代替認証プロバイダを構成するための大まかな手順」の手順4の説明に従って、認証プロバイダ(OID LDAPやADなど)のユーザーおよびグループがWebLogicコンソールに表示されていることを確認します。

3.5.2 (Active Directory用オプション)グループ名属性の変更

Active Directoryサーバーでデフォルト値cn以外のグループ名属性を使用する場合は、それを変更する必要があります。この属性を変更する場合、表3-11に示すとおり、AllGroupsFilterおよびGroupFromNameFilterの設定も変更する必要があります(例は、AnOtherGroupAttributeという属性に保存されているグループ名を示しています)。

表3-11 グループ名属性の変更

属性名

デフォルト設定

必要となる新しい設定

StaticGroupNameAttribute/DynamicGroupNameAttribute

cn

AnOtherGroupAttribute

AllGroupsFilter

(&(cn=*)(objectclass=person))

(&(AnOtherGroupAttribute =*)(objectclass=person))

GroupFromNameFilter

(&(cn=%u)(objectclass=person))

(&(AnOtherGroupAttribute =%u)(objectclass=person))

「プロバイダ固有」タブで、表3-11を使用して変更を行います(AnOtherGroupAttribute設定を独自の値で置換します)。「プロバイダ固有」タブの表示方法の詳細は、第3.4.2項「認証プロバイダとしてのActive Directoryの構成」を参照してください。

3.6 アイデンティティ・ストアでのGUID属性の構成

Oracle Internet Directory (OID LDAP)やActive Directory (AD)などの代替認証プロバイダを構成し、GUID属性をデフォルト値から変更する場合、アイデンティティ・ストアで使用する値と代替認証プロバイダで使用する変更済の値を一致させる必要があります。

たとえば、OID LDAPを使用しており、GUID属性のデフォルト値をorclguidからnewvalueに変更した場合、アイデンティティ・ストアと認証プロバイダの両方で、値をnewvalueに設定する必要があります。

アイデンティティ・ストアでGUID属性を構成するには:

1. Fusion Middleware Controlにログインします。
詳細は、第1.6.2項「Oracle Fusion Middleware Controlの使用」を参照してください。

2. ナビゲーション・ペインから「WebLogicドメイン」フォルダを展開し、「bifoundation_domain」を選択します。

3. 「bifoundation_domain」を右クリックして「セキュリティ」→「セキュリティ・プロバイダ構成」を選択し、「セキュリティ・プロバイダ構成」ページを表示します。

4. 「アイデンティティ・ストア・プロバイダ」領域で「構成」をクリックし、「アイデンティティ・ストア構成」ページを表示します。

5. 「カスタム・プロパティ」領域で「追加」をクリックし、表3-12に記載されているカスタム・プロパティを追加します。

表3-12 カスタム・プロパティ

プロパティ名

値

PROPERTY_ATTRIBUTE_MAPPING

認証プロバイダで設定されているGUID属性値を指定します。たとえば、認証プロバイダでGUID属性がnewvalueに設定されている場合、この値をGUID=newvalueに設定します。

図3-6は、GUID属性値がGUID=newvalueに設定されたPROPERTY_ATTRIBUTE_MAPPINGという新しいプロパティを含む、一連のカスタム・プロパティの例を示しています。

図3-6 カスタム・プロパティ: GUID属性

6. 「OK」をクリックして変更を保存します。

7. 管理サーバー、管理対象サーバーおよびOracle BIコンポーネントを再起動します。

3.7 新しい信頼できるユーザー(BISystemUser)の構成

Oracle Business Intelligenceでは、内部通信用に構成された認証プロバイダに、特定のユーザーを使用します。たとえば代替認証プロバイダ(Oracle Internet Directory、Active Directoryなど)を使用するようにOracle BIを構成する場合、その代替認証プロバイダでこの目的に使用する新しいユーザーを作成(または既存のユーザーを選択)し、そのユーザーに必要な権限を与えます。選択したユーザーへの必要な権限の付与は、これらのユーザーを既存のBISystemアプリケーション・ロールのメンバーにすることによって行います。複数の認証プロバイダを構成する場合(詳細は、第3.4.5項を参照)、このユーザーが存在する必要があるアイデンティティ・ストアは、いずれか1つのみです。

代替認証プロバイダのユーザーで新しい信頼できるユーザー・アカウントを作成するには:

信頼できるユーザー・アカウントの資格証明は、system.userキーの下の資格証明ストアに格納されます。system.userキーが認証プロバイダ(Oracle Internet Directory、Active Directoryなど)で使用できる一連の資格証明を指すようにする必要があります。

既存のユーザーを使用しても新しいユーザーを作成しても、system.userキーの資格証明を構成するプロセスは同じです。

1. 代替認証プロバイダで、信頼できるユーザーのためのユーザーを作成または特定します。
この信頼できるユーザーにBISystemUserという名前を付け、その目的を明確にすることがベスト・プラクティスですが、任意の名前を選択することもできます。

終了すると、Oracle WebLogic Server管理コンソールの「ユーザー」表は図3-7のようになります(記載された例はOracle Internet Directory用です)。

図3-7 Oracle WebLogic Server管理コンソールの「ユーザー」表

「図3-7 Oracle WebLogic Server管理コンソールの「ユーザー」表」の説明

次に、信頼できるユーザーの資格証明を、oracle.bi.system資格証明マップに追加します。

2. Fusion Middleware Controlのターゲット・ナビゲーション・ペインからファームを開き、「WebLogicドメイン」を開いて「bifoundation_domain」を選択します。

- 「WebLogicドメイン」メニューで、「セキュリティ」→「資格証明」を選択します。

- 「oracle.bi.system」 資格証明マップを開き、「system.user」 を選択して「編集」をクリックします。
図bisystem_cred.gifの説明

- 「キーの編集」ダイアログの「ユーザー名」フィールドで、BISystemUser (または選択した名前)を入力します。「パスワード」フィールドで、認証プロバイダ(Oracle Internet Directory、Active Directoryなど)に含まれる信頼できるユーザーのパスワードを入力します。

- 「OK」をクリックします。
次に、新しい信頼できるユーザーをBISystemアプリケーション・ロールのメンバーにする必要があります。

3. Fusion Middleware Controlのターゲット・ナビゲーション・ペインで、Oracle Business IntelligenceがインストールされているOracle WebLogic Serverドメインに移動します。たとえば、bifoundation_domainです。

4. 「WebLogicドメイン」メニューからセキュリティ・ロールおよびアプリケーション・ロールを選択し、「アプリケーション・ロール」ページを表示します。

5. 「検索するアプリケーション・ストライプの選択」ラジオ・ボタンをクリックし、リストから「obi」を選択します。「ロール名」フィールドの右の検索矢印をクリックします。
Oracle Business Intelligenceアプリケーション・ロールが表示されます。これは図3-8のようになります。

図3-8 Fusion Middleware Controlの「アプリケーション・ロール」ページ

6. 「BISystem」アプリケーション・ロールを選択し、「編集」をクリックします。

7. 「アプリケーション・ロールの編集」ページで、「ユーザー」セクションまでスクロールし、「ユーザーの追加」をクリックします。

8. 「ユーザーの追加」ダイアログで、「ユーザー名」フィールドの横の矢印をクリックし、代替認証プロバイダ(Oracle Internet Directoryなど)で作成された信頼できるユーザーを検索します。シャトル・コントロールを使用して、信頼できるユーザー名(BISystemUser)を「使用可能なユーザー」リストから「選択したユーザー」リストに移動します。
図bisystem_edit02.gifの説明

9. 「OK」をクリックします。
代替認証プロバイダ(Oracle Internet Directory、Active Directoryなど)に含まれる信頼できるユーザー(BISystemUser)は、これでBISystemアプリケーション・ロールのメンバーになりました。

新しいシステム・ユーザーを構成する次の段階は、そのユーザーがWebLogic ServerのグローバルAdminロールの一部であることを確認することです。

10. Oracle WebLogic Server管理コンソールで「myrealm」をクリックして「<レルム>の設定」ページを表示し、「ロールとポリシー」タブを表示します。

11. ロールのリストでプラス記号をクリックして「グローバル・ロール」→「ロール」を開き、Adminロールの「ロール条件の表示」リンクをクリックします。

12. グローバルAdminロールに新しい信頼できるユーザーを追加します。
指定された条件が、直接、または所属するグループに基づいて、ユーザーと一致することを確認します(条件は、たとえば、User = BISystemUserまたはGroup=Administratorsのようになります)。

13. 「保存」をクリックします。

14. 信頼できるユーザー名をBISystemUser以外の値に変更する場合、Oracle Business Intelligence Publisher JMSモジュールの対応するユーザー名も変更する必要があります。
Oracle Business Intelligence Publisher JMSモジュールは、デフォルトでBISystemUserを使用します。したがって、信頼できるユーザー・アカウント名をBISystemUser以外の値に変更した場合、JMSモジュールのユーザー名も、次のように信頼できる新しいユーザーの値に変更する必要があります。

1. Oracle WebLogic Server管理コンソールにログインし、「チェンジ・センター」で「ロックして編集」をクリックします。
詳細は、第1.6.1項「Oracle WebLogic Server管理コンソールの使用」を参照してください。

2. 左ペインで「サービス」→「メッセージング」→「JMSモジュール」を選択します。

3. 「BipJmsResource」を選択します。

4. 「セキュリティ」タブに移動し、「ポリシー」サブタブを表示します。

5. BISystemUserを新しい信頼できるユーザーの名前で置換します。

6. 「変更のアクティブ化」をクリックします。

15. 管理対象サーバーを起動します。
このようにシステム・ユーザーの資格証明を変更した場合は、次のようにBIサーバーとPresentation Servicesを再起動します。

1. Fusion Middleware Controlにログインします。
詳細は、第1.6.2項「Oracle Fusion Middleware Controlの使用」を参照してください。

2. 「可用性」ページに移動し、「プロセス」タブを表示します。
ページの「ヘルプ」ボタンをクリックして、要素に関するページレベルのヘルプを表示します。

3. 「すべて再起動」をクリックします。

認証プロバイダ(Oracle Internet Directory、Active Directoryなど)の新しい信頼できるユーザーが、Oracle Business Intelligence用に構成されます。

3.8 ユーザーGUIDのリフレッシュ

Oracle Business Intelligence 11g リリース1(11.1.1)では、ユーザーはその名前ではなくGlobal Unique Identifier (GUID)で認識されます。GUIDは、特定のユーザーに対する一意の識別子です。GUIDを使用してユーザーを識別することにより、特定のユーザーのデータとメタデータが、ユーザー名に関係なく一意に保護されるので、セキュリティ・レベルが向上します。

GUIDのリフレッシュ(GUIDの同期化またはGUIDの再生成とも呼ばれる)は、Oracle BIリポジトリおよびOracle BIプレゼンテーション・カタログのユーザーGUIDへのメタデータ参照を更新します。GUIDのリフレッシュ・プロセスでは、各ユーザー名がアイデンティティ・ストアで検索されます。その後、アイデンティティ・ストアで、そのユーザー名に関連付けられたGUIDへのすべてのメタデータ参照がそのGUIDに置換されます。

GUIDのリフレッシュは、Oracle Business Intelligenceが同一ユーザーに対して異なるGUIDを持つアイデンティティ・ストアに再度関連付けられる場合に必要となります。このような状況は、Oracle Business Intelligenceを異なるタイプのアイデンティティ・ストアと再度関連付ける際、または本番環境で異なるアイデンティティ・ストアを使用する場合にテスト環境から本番環境に移行する際に発生することがありますが、まれです。

Oracleのベスト・プラクティスが実施されず、Oracle Business Intelligenceリポジトリ・データが、同一ユーザーに対して異なるGUIDを持つシステム間で移行される場合、システムを機能させるには、GUIDをリフレッシュする必要があります。これは、あるユーザー(たとえば、2週間前に退社したJohn Smith)に対して保護されているデータおよびメタデータが、別のユーザー(たとえば先週入社したJohn Smith)に対してアクセス可能になる危険が高まるため、推奨されるものではありません。可能なかぎりアプリケーション・ロールを使用して、開発から本番までのライフサイクル全体を通じて一貫してGUIDを使用することにより、この問題の発生を防ぐことができます。

ユーザーGUIDをリフレッシュするには:

このタスクでは、Oracle BIサーバーおよびプレゼンテーション・サービスが再起動時にGUIDをリフレッシュするように、構成ファイルを手動で編集する必要があります。完了したら、これらのファイルを編集してその変更を削除します。Oracle Business Intelligenceの構成ファイルの場所は、『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』の構成ファイルの場所に関する項を参照してください。

ユーザーGUIDをリフレッシュするには、次の手順をAPPHOST1とAPPHOST2で実行します。GUIDのリフレッシュは、一度に1つのノードのみが動作している状態で行う必要があることに注意してください。

1. ユーザーGUIDをリフレッシュしているノード以外のすべてのノード上でOracle BIサーバーおよびプレゼンテーション・サービスを停止します。例:

cd ORACLE_HOME/admin/instancen/bin
./opmnctl stopproc ias-component=coreapplication_obips1./opmnctl stopproc ias-component=coreapplicaiton_obis1

2. NQSConfig.INIのFMW_UPDATE_ROLE_AND_USER_REF_GUIDSパラメータを更新します。

1. 次の場所にあるNQSConfig.INIを開いて編集します。

ORACLE_INSTANCE/config/OracleBIServerComponent/coreapplication_obisn

2. FMW_UPDATE_ROLE_AND_USER_REF_GUIDS パラメータを見つけ、これを次のようにYESに設定します。

FMW_UPDATE_ROLE_AND_USER_REF_GUIDS = YES;

3. ファイルを保存して閉じます。

3. instanceconfig.xmlで、カタログ要素を更新します。

1. 次の場所にあるinstanceconfig.xmlを開いて編集します。

ORACLE_INSTANCE/config/OracleBIPresentationServicesComponent/
coreapplication_obipsn

2. カタログ要素を見つけ、これを次のように更新します。

<Catalog>
<UpgradeAndExit>false</UpgradeAndExit>
<UpdateAccountGUIDs>UpdateAndExit</UpdateAccountGUIDs>
</Catalog>

3. ファイルを保存して閉じます。

4. opmnctlを使用してOracle BIサーバーおよびプレゼンテーション・サービスを再起動します。

cd ORACLE_HOME/admin/instancen/bin
./opmnctl stopproc ias-component=coreapplication_obips1
./opmnctl stopproc ias-component=coreapplicaiton_obis1
./opmnctl startproc ias-component=coreapplicaiton_obis1

Oracle BI Serverが実行されていることを確認したら、プレゼンテーション・サービスを起動します。

./opmnctl startproc ias-component=coreapplicaiton_obips1

5. NQSConfig.INIのFMW_UPDATE_ROLE_AND_USER_REF_GUIDSパラメータをNOに戻します。
重要: システムを確実にセキュアな状態にするには、この手順を実行する必要があります。

6. instanceconfig.xmlのカタログ要素を更新し、UpdateAccountのGUIDエントリを削除します。

7. opmnctlを使用して、Oracle Business Intelligenceシステム・コンポーネントを再起動します。

cd ORACLE_HOME/admin/instancen/bin
./opmnctl stopall
./opmnctl startall

3.9 ポリシー・ストアおよび資格証明ストアとしてのOracle Internet Directoryの構成

資格証明ストアおよびポリシー・ストア・プロバイダとしてOracle Internet Directory (OID LDAP)を使用するようOracle Business Intelligenceを再構成するには、『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』のOPSSセキュリティ・ストアの再関連付けに関する項にある手順に従ってください。

注意

- このリリースにおいてこの用途でサポートされているLDAPサーバーはOracle Internet Directoryのみです。詳細は、「システム要件と動作要件」を参照してください。

- LDAPベースの資格証明ストアを使用するための前提条件は、LDAPベースのポリシー・ストアを使用するための前提条件と同様です。詳細は、『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』のLDAPベースのOPSSセキュリティ・ストアの使用に関する項を参照してください。

- Oracle Entitlements Server Basic (OES Basic)は、Oracle Platform Security Services (OPSS)内の組込み認可エンジンに置き換わるものであり、基本的なロールベースのアクセス制御、およびJava2またはJAASの権限に基づいた認可ポリシーの定義、強制および監査に使用されます。同梱されているOracle Entitlements Server Basicのライセンスは、このコンポーネントがそれぞれのライセンス・ドキュメントにリストされたOracle製品でのみ使用できます。
視覚的な変更はなく、OPSSに関する記述も引き続き使用されますが、今後順次OES Basicに関する記述に置き換えられます。

OIDを使用するようにポリシー・ストアを再度関連付けることができる場合、Fusion Middleware ControlではなくOESユーザー・インタフェースを使用してポリシー・ストアを管理することもできます(OES Basicのライセンス条件に従います)。

Oracle Entitlements Server Basicの詳細は、Oracle Fusion Middlewareのライセンスに関する情報を参照してください。

4 SSO認証の有効化

この章では、Oracle Business Intelligenceのシングル・サインオン(SSO)認証を構成するための一般的なガイドラインをいくつか紹介します。

注意:

セキュリティ設定手順の詳細なリストは、第1.7項「Oracle Business Intelligenceのセキュリティを設定するための詳細な手順」を参照してください。

この章の内容は次のとおりです。

- 第4.1項「Oracle Business IntelligenceのSSOの構成タスク」

- 第4.2項「SSO認証およびOracle Business Intelligenceについて」

- 第4.3項「SSOの実装に関する考慮事項」

- 第4.4項「Oracle Access Manager環境でのSSOの構成」

- 第4.5項「カスタムSSO環境の構成」

- 第4.6項「Fusion Middleware Controlの使用によるSSO認証の有効化」

- 第4.7項「オンライン・カタログ・マネージャの接続の有効化」

注意:

Oracle Fusion Middleware 11gでのエンタープライズレベルのSSO認証プロバイダとして、Oracle Access Managerを使用することをお薦めします。第4.2項、第4.3項および第4.4項では、Oracle Access ManagerがSSO認証プロバイダであると想定しています。第4.5項では、カスタムSSO環境のソリューションでの代替認証プロバイダについて説明します。

Oracle Fusion MiddlewareでOracle Access Managerを構成して管理する方法の詳細は、『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』のOracle Fusion Middlewareでのシングル・サインオンの概要に関する項を参照してください。

サポートされているSSOプロバイダの詳細は、「システム要件と動作要件」を参照してください。

4.1 Oracle Business IntelligenceのSSOの構成タスク

表4-1は、SSO認証の構成タスクを示したもので、詳細情報へのリンクが用意されています。

表4-1 タスク・マップ: Oracle Business IntelligenceのSSO認証の構成

タスク

説明

参照先

Oracle Access ManagerをSSO認証プロバイダとして構成します。

Oracle Business IntelligenceのURLのエントリ・ポイントを保護するようにOracle Access Managerを構成します。

第4.4項「Oracle Access Manager環境でのSSOの構成」

『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』のOracle Fusion Middlewareでのシングル・サインオンの構成に関する項

HTTPプロキシを構成します。

プレゼンテーション・サービスからSSOプロバイダへリクエストを転送するようにWebプロキシを構成します。

『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』のOracle Fusion Middlewareでのシングル・サインオンの構成に関する項

Oracle WebLogic Server用に新しい認証プロバイダを構成します。

Oracle Business IntelligenceがインストールされているOracle WebLogic Serverドメインで、新しいアイデンティティ・ストアを使用するように構成します。

第4.4.1項「Oracle WebLogic Serverの新しい認証プロバイダの構成」

第3.4項「代替認証プロバイダの構成」

Oracle Fusion Middleware Oracle WebLogic Server管理コンソール・オンライン・ヘルプ

Oracle WebLogic Serverの新しいIDアサーション・プロバイダを構成します。

Oracle Business IntelligenceがインストールされているOracle WebLogic Serverドメインで、アサーション・プロバイダとしてSSOプロバイダを使用するように構成します。

第4.4.2項「Oracle WebLogic Serverの新しいIDアサーション・プロバイダとしてのOracle Access Managerの構成」

第3.4項「代替認証プロバイダの構成」

Oracle Fusion Middleware Oracle WebLogic Server管理コンソール・オンライン・ヘルプ

新しい信頼されたシステムのユーザーでデフォルトのBISystemUserを置き換えるように構成します。

Oracle Internet Directoryから新しい信頼されたシステム・ユーザー名を追加して、BISystemアプリケーション・ロールのメンバーにします。

第3.7項「新しい信頼できるユーザー(BISystemUser)の構成」

ユーザーおよびグループのGUIDを更新します。

元のアイデンティティ・ストアから新しいアイデンティティ・ストア(認証ソース)へ移行されたユーザーおよびグループのGUIDを更新します。

第3.8項「ユーザーGUIDのリフレッシュ」

カスタムSSOソリューションを構成します。

Oracle Business Intelligence URLエントリ・ポイントを保護するように別のカスタムSSOソリューションを構成します。

第4.5項「カスタムSSO環境の構成」

Oracle Business IntelligenceがSSO認証を受け入れられるようにします。

Fusion Middleware Controlを使用してOracle Business Intelligenceと連携して機能するように構成されたSSOプロバイダを有効化します。

第4.6項「Fusion Middleware Controlの使用によるSSO認証の有効化」

注意:

Oracle Business IntelligenceのSSOのインストレーション・シナリオの例については、『Oracle Fusion Middleware Oracle Business Intelligenceエンタープライズ・デプロイメント・ガイド』を参照してください。

4.2 SSO認証およびOracle Business Intelligenceについて

シングル・サインオン(SSO)ソリューションを統合することで、ユーザーはログオン(サインオン)して認証を受けるのを一度で済ませることができます。その後、認証されたユーザーには、そのユーザーに付与された権限に応じて、システム・コンポーネントまたはリソースへのアクセス権が与えられます。Oracle Business Intelligenceは、Oracle Fusion MiddlewareおよびOracle WebLogic Serverとともに使用するように構成されたSSOソリューションで認証された受信HTTPリクエストを信頼するように構成できます。Oracle Fusion Middleware用にSSOを構成する方法の詳細は、『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』のOracle Fusion Middlewareでのシングル・サインオンの構成に関する項を参照してください。

Oracle Business IntelligenceがSSO認証を使用するように構成されている場合、どのSSOソリューションであってもOracle Fusion Middlewareで使用するように構成されているものであれば、それによって認証されたユーザーを受け入れます。SSOが有効化されていない場合は、Oracle Business Intelligenceは、各ユーザーに対して認証資格証明を要求します。Oracle Business IntelligenceがSSOを使用するように構成されている場合、ユーザーはまずSSOソリューションの認証用のログイン・ページにリダイレクトされます。SSOソリューションによってユーザーが認証されると、ユーザー名がプレゼンテーション・サービスに転送され、そこでこの名前が抽出されます。次に、偽装機能(偽装されているユーザーの代理の役目を果たす資格証明を使用したOracle BIプレゼンテーション・サーバーとBIサーバーとの間の接続文字列)を使用して、BIサーバーとのセッションが確立されます。

SSOを使用して正常にログインした後も、ユーザーが有効なユーザー名とパスワードの組合せを使用して管理ツールにログインするには、oracle.bi.server.manageRepositoriesの権限を持っている必要があります。インストール後、デフォルトのBIAdministrationアプリケーション・ロールのメンバーとなることで、oracle.bi.server.manageRepositories権限が付与されます。

SSO認証と連携するようにOracle Business Intelligenceを構成するには、少なくとも次を実行する必要があります。

- SSO認証を受け付けるようにOracle Fusion MiddlewareとOracle WebLogic Serverを構成します。本番環境では、Oracle Access Managerをお薦めします。

- 受信メッセージを信頼するようにOracle BIプレゼンテーション・サービスを構成します。

- SSO構成でのIDの伝播に必要なHTTPヘッダー情報(つまり、ユーザーIDとSSOのCookie)を指定して構成します。

4.2.1 IDアサーション・プロバイダのしくみ

ここでは、シングル・サインオンのためのIDアサーション・プロバイダの使用により、Oracle Access Managerの認証プロバイダがOracle WebLogic Serverと連携し、次の機能を提供するしくみについて説明します。

- シングル・サインオン用のIDアサーション・プロバイダ
この機能は、Oracle Access Managerの認証サービスを使用し、適切なトークンを通じて、認証済のOracle Access Managerユーザーを検証し、WebLogicで認証されたセッションを作成します。また、Webゲートとポータルの間のシングル・サインオンも提供します。Webゲートは、Webリソース(HTTP)リクエストをインターセプトし、それを認証および認可のためにアクセス・サーバーに転送するプラグインです。

- 認証プロバイダ
この機能は、Oracle Access Managerの認証サービスを使用して、Oracle WebLogic Serverにデプロイされているアプリケーションにアクセスするユーザーを認証します。ユーザーはその資格証明、たとえばユーザー名やパスワードに基づいて認証されます。

Oracle Access Managerの認証プロバイダをシングル・サインオン用のIDアサーション・プロバイダとして構成すると、Webリソースが保護されます。境界認証は、Web層のWebゲートと、保護されているWebLogicリソースにアクセスしようとしているユーザーのIDをアサートする適切なトークンにより実施されます。

すべてのアクセス・リクエストは、リバース・プロキシWebサーバーにルーティングされます。これらのリクエストは次にWebゲートでインターセプトされます。Oracle Access Manager内で構成されている認証スキームに基づいて、ユーザーに対して資格証明の提示が要求されます(フォームベースのログインをお薦めします)。

正常に認証されると、Webゲートがトークンを生成し、WebサーバーがリクエストをOracle WebLogic Serverに転送します。次に、Oracle WebLogic ServerがOracle Access ManagerのIDアサーション・プロバイダを呼び出し、シングル・サインオンの検証を行います。WebLogic Security Serviceがシングル・サインオンのためにOracle Access ManagerのIDアサーション・プロバイダを呼び出し、IDアサーション・プロバイダが受信リクエストからトークンを取得し、サブジェクトにWLSUserImplプリンシパルを移入します。シングル・サインオンのためのIDアサーション・プロバイダが、ユーザーがメンバーであるグループに対応したWLSGroupImplプリンシパルを追加します。次に、Oracle Access ManagerがCookieを検証します。

図4-1は、Oracle Fusion Middlewareを使用したSSOのIDアサーション・プロバイダとしてOracle Access Managerの認証プロバイダが構成されている場合の、コンポーネントの配置と情報フローを示しています。

図4-1 Webリソースのみを対象としたOracle Access Managerのシングル・サインオン・ソリューション

4.2.2 Oracle Business IntelligenceとSSO認証の連携のしくみ

SSO認可が実装されると、プレゼンテーション・サービスは受信したWebリクエストがSSOで認証されたユーザーからのものであるかのように動作します。プレゼンテーション・サービスは次に、偽装機能を使用してBIサーバーへの接続を作成し、ユーザーの代理としてBIサーバーへの接続を確立します。ユーザーのパーソナライゼーションと、データレベル・セキュリティなどのアクセス制御は、この環境で保持されます。

4.3 SSO実装に関する考慮事項

Oracle Business Intelligenceを使用してSSOソリューションを実装するときには、次の点を検討する必要があります。

- HTTPサーバーまたはサーブレット・コンテナから信頼できる情報を受け入れるとき、プレゼンテーション・サービスと直接通信を行うマシンを保護する必要があります。これを行うには、HTTPサーバーまたはサーブレット・コンテナのIPアドレスのリストが含まれているinstanceconfig.xmlファイルのListener\Firewallノードを設定します。さらに、Firewallノードには、Oracle BIスケジューラのインスタンス、Oracle BIプレゼンテーション・サービスのプラグイン・インスタンスおよびOracle BI JavaHostのインスタンスすべてのIPアドレスが含まれている必要があります。これらのコンポーネントのいずれかがOracle BIプレゼンテーション・サービスと同じ場所にある場合は、このリストに127.0.0.1も追加する必要があります。この設定はエンドユーザーのブラウザのIPアドレスを制御するものではありません。

- 相互に認証されたSSLを使用している場合、信頼できるすべてのホストの識別名(DN)をListener\TrustedPeersノードで指定する必要があります。

4.4 Oracle Access Manager環境でのSSOの構成

WebLogic ServerでOracle Fusion MiddlewareのSSO認証プロバイダとしてOracle Access Managerを構成する方法の詳細は、『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』のOracle Fusion Middlewareでのシングル・サインオンの構成に関する項を参照してください。Oracle Access Managerの管理の詳細は、『Oracle Fusion Middleware Oracle Access Manager管理者ガイド』を参照してください。

Oracle Access ManagerをSSO認証プロバイダとして使用するようにOracle BI Publisherを構成する方法の詳細は、『Oracle Fusion Middleware Oracle Business Intelligence Publisher管理者および開発者ガイド』のOracle Access Manager (OAM)のシングル・サインオンを使用するためのBI Publisherの構成に関する項を参照してください。

Oracle Fusion Middleware環境を構成した後、Oracle Business Intelligenceを構成するため、一般的に次を行う必要があります。

- Oracle Business IntelligenceのURLエントリ・ポイントを保護するようにSSOプロバイダを構成します。

- プレゼンテーション・サービスからSSOプロバイダへリクエストを転送するようにWebサーバーを構成します。

- Oracle Business IntelligenceがインストールされているOracle WebLogic Serverドメインのメイン認証ソースとして新しいアイデンティティ・ストアを構成します。詳細は、第4.4.1項「Oracle WebLogic Serverの新しい認証プロバイダの構成」を参照してください。

- Oracle Business IntelligenceがインストールされているOracle WebLogic Serverドメインを、Oracle Access ManagerのIDアサーション・プロバイダを使用するように構成します。詳細は、第4.4.2項「Oracle WebLogic Serverの新しいIDアサーション・プロバイダとしてのOracle Access Managerの構成」を参照してください。

- SSO環境の構成が完了したら、Oracle Business IntelligenceのSSO認証を有効化します。詳細は、第4.6項「Fusion Middleware Controlの使用によるSSO認証の有効化」を参照してください。

4.4.1 Oracle WebLogic Serverの新しい認証プロバイダの構成

Oracle Business Intelligenceのインストール後、Oracle WebLogic Serverの組込みLDAPサーバーがデフォルトの認証ソース(アイデンティティ・ストア)になります。新しいアイデンティティ・ストア(OIDなど)をメイン認証ソースとして使用するには、(Oracle Business Intelligenceがインストールされている)Oracle WebLogic Serverドメインを構成する必要があります。

Oracle WebLogic Serverでの認証プロバイダの構成の詳細は、『Oracle Fusion Middleware Oracle WebLogic Serverの保護』を参照してください。

Oracle WebLogic Serverで新しい認証プロバイダを構成するには:

1. Oracle WebLogic Server管理コンソールにログインし、「チェンジ・センター」で「ロックして編集」をクリックします。
詳細は、第1.6.1項「Oracle WebLogic Server管理コンソールの使用」を参照してください。

2. 左ペインで「セキュリティ・レルム」を選択し、「myrealm」をクリックします。
デフォルトのセキュリティ・レルムはmyrealmという名前です。

3. 「プロバイダ」タブを表示し、「認証」サブタブを表示します。

4. 「新規」をクリックし、「新しい認証プロバイダの作成」ページを起動します。
次のようにフィールドに入力します。

- 名前: 「OID Provider」または任意の名前。

- タイプ: OracleInternetDirectoryAuthenticator

- 「OK」をクリックし、変更を保存して、新しい認証プロバイダで更新された認証プロバイダ・リストを表示します。

5. 認証プロバイダの表で、新たに追加した認証プロバイダをクリックします。

6. 「設定」に移動して、「構成」→「共通」タブを選択します。

- 「制御フラグ」リストで「SUFFICIENT」を選択します。

- 「保存」をクリックします。

7. 「プロバイダ固有」タブをクリックし、使用する環境に適切な値を使用して、次の設定を指定します。

セクション名

フィールド名

説明

接続

ホスト

LDAPホスト名。たとえば、<localhost>などです。

接続

ポート

LDAPホストのリスニング・ポート番号。たとえば、6050などです。

接続

プリンシパル

LDAPサーバーに接続するユーザーの識別名(DN)。たとえば、cn=orcladminです。

接続

資格証明

プリンシパルとして入力されたLDAP管理ユーザーのパスワード。

ユーザー

ユーザー・ベースDN

ユーザーを含むLDAPサーバー・ツリーのベース識別名(DN)。たとえば、Oracle Access Managerと同じ値を使用します。

ユーザー

すべてのユーザーのフィルタ

LDAP検索フィルタ。たとえば、(&(uid=*) (objectclass=person))などです。アスタリスク(*)はすべてのユーザーをフィルタします。詳細は、「詳細」をクリックします。

ユーザー

名前指定によるユーザー・フィルタ

LDAP検索フィルタ。詳細は、「詳細」をクリックします。

ユーザー

ユーザー名属性

認証に使用する属性(cn、uid、mailなど)。ディレクトリ・サーバーのユーザー名のデフォルトの属性として設定します。たとえば、uidなどです。

注意: 次のタスク、第3.5.1項「アイデンティティ・ストアでのユーザー名属性の構成」の説明のとおり、ここで指定する値は、認証プロバイダで使用しているユーザー名属性と一致する必要があります。

グループ

グループ・ベースDN

グループ(ユーザー・ベースDNと同じ)を含むLDAPサーバー・ツリーのベース識別名(DN)。

一般

GUID属性

LDAPでオブジェクトGUIDの定義に使用する属性。

orclguid

注意: 通常は、このデフォルト値を変更しないでください。変更する場合は、Fusion Middleware Controlでも、第3.6項「アイデンティティ・ストアでのGUID属性の構成」タスクで説明しているとおり、変更した値を指定する必要があります。

Oracle WebLogic Serverでの認証プロバイダの構成の詳細は、『Oracle Fusion Middleware Oracle WebLogic Serverの保護』を参照してください。

8. 「保存」をクリックします。

9. 次の手順を実行して、IDアサーション・プロバイダと併用できるようにデフォルトの認証プロバイダを設定します。

1. メインの「myrealmの設定」ページで、「プロバイダ」タブ→「認証」サブタブを表示し、「DefaultAuthenticator」を選択して、その構成ページを表示します。

2. 「構成」→「共通」タブを表示し、「制御フラグ」リストで「SUFFICIENT」を選択します。
詳細は、第3.4.6項「JAAS制御フラグ・オプションの設定」を参照してください。

3. 「保存」をクリックします。

10. 次の手順に従ってプロバイダを並べ替えます。

1. 「プロバイダ」タブを表示します。

2. 「並替え」をクリックし、「認証プロバイダの並替え」ページを表示します。

3. プロバイダ名を選択してから矢印ボタンを使用して、次の順序でプロバイダのリストを並べます。

- OID認証プロバイダ: (SUFFICIENT)

- OAM IDアサーション・プロバイダ: (REQUIRED)

- デフォルトの認証プロバイダ: (SUFFICIENT)

4. 「OK」をクリックし、変更を保存します。

11. チェンジ・センターで、変更のアクティブ化をクリックします。

12. Oracle WebLogic Serverを再起動します。

4.4.2 Oracle WebLogic Serverの新しいIDアサーション・プロバイダとしてのOracle Access Managerの構成

Oracle Business IntelligenceがインストールされているOracle WebLogic Serverドメインは、Oracle Access Managerのアサーション・プロバイダを使用するように構成されている必要があります。

Oracle WebLogic Serverに新しいアサーション・プロバイダを作成する方法の詳細は、Oracle Fusion Middleware Oracle WebLogic Server管理コンソールのオンライン・ヘルプを参照してください。

Oracle Access ManagerをOracle WebLogic Serverの新しいアサーション・プロバイダとして構成するには:

1. Oracle WebLogic Server管理コンソールにログインします。
詳細は、第1.6.1項「Oracle WebLogic Server管理コンソールの使用」を参照してください。

2. Oracle WebLogic Server管理コンソールで左ペインから「セキュリティ・レルム」を選択し、構成するレルムをクリックします。たとえば、「myrealm」をクリックします。「プロバイダ」を選択します。

3. 「新規」をクリックします。次のようにフィールドに入力します。

- 名前: 「OAM Provider」または任意の名前。

- タイプ: OAMIdentityAsserter。

4. 「OK」をクリックします。

5. 「保存」をクリックします。

6. 「プロバイダ」タブで、次の手順に従ってプロバイダを並べ替えます。

1. 「並べ替え」をクリックします。

2. 「認証プロバイダの並替え」ページでプロバイダ名を選択し、リストの横にある矢印を使用して、次の順序でプロバイダを並べます。

- OID認証プロバイダ: (SUFFICIENT)

- OAM IDアサーション・プロバイダ: (REQUIRED)

- デフォルトの認証プロバイダ: (SUFFICIENT)

3. 「OK」をクリックし、変更を保存します。

7. チェンジ・センターで、変更のアクティブ化をクリックします。

8. Oracle WebLogic Serverを再起動します。
Oracle WebLogic Serverに再度ログインして、LDAPサーバーに格納されているユーザーおよびグループがコンソールに表示されていることを確認することによって、Oracle Internet Directoryが新しいアイデンティティ・ストア(デフォルトの認証プロバイダ)であることを確認できます。

9. Fusion Middleware Controlを使用して、SSO認証を有効化します。
詳細は、第4.6項「Fusion Middleware Controlの使用によるSSO認証の有効化」を参照してください。

4.5 カスタムSSO環境の構成

カスタムSSO環境に参加するようにOracle Business Intelligenceを構成する方法(たとえば、Active DirectoryやSiteMinderを使用してSSOを設定するなど)の詳細は、My Oracle Supportの記事1287479.1および1274953.1を参照してください:

https://support.oracle.com

4.6 Fusion Middleware Controlの使用によるSSO認証の有効化

Oracle Fusion Middlewareで使用するように構成されたSSOソリューションを使用するようにOracle Business Intelligenceを構成したら、Fusion Middleware Controlの「セキュリティ」タブから、Oracle Business IntelligenceのSSO認証を有効化する必要があります。

Oracle Business IntelligenceでSSO認証を使用できるようにするには:

1. Fusion Middleware Controlにログインします。
詳細は、第1.6.2項「Oracle Fusion Middleware Controlの使用」を参照してください。

2. 「セキュリティ」ページに移動して、「SSO」タブを表示します。
ページの「ヘルプ」ボタンをクリックして、要素に関するページレベルのヘルプを表示します。

3. 「構成をロックして編集」をクリックします。

4. 「SSOの有効化」を選択します。
選択すると、このチェック・ボックスはSSOをOracle Business Intelligenceの認証手段として有効化します。SSOの適切な形式は、選択されたSSOプロバイダに対して行われた構成設定によって決まります。

5. リストから構成済SSOプロバイダを選択します。
「SSOの有効化」チェック・ボックスを選択すると、SSOプロバイダ・リストがアクティブになります。

6. 必要に応じて、構成済SSOプロバイダのログオンURLとログオフURLを入力します。
(SSOプロバイダによって指定される)ログオフURLは、システムがユーザーをログアウトさせるのではないため、SSOプロバイダが保護するドメインおよびポートの外部にある必要があります。

7. 「適用」をクリックしてから、「変更のアクティブ化」をクリックします。

8. Fusion Middleware Controlを使用してOracle Business Intelligenceコンポーネントを再起動します。
詳細は、『Oracle Fusion Middleware System Oracle Business Intelligence Enterprise Edition管理者ガイド』のOracle Business Intelligenceコンポーネントの開始と停止に関する項を参照してください。

4.7 オンライン・カタログ・マネージャの接続の有効化

Oracle BI用のHTTP WebサーバーでSSOが有効化されていると、オンライン・カタログ・マネージャからOracle BIプレゼンテーション・サービスに接続できない場合があります。第4.6項「Fusion Middleware Controlの使用によるSSO認証の有効化」でSSOを有効にすると、Oracle Business IntelligenceのURL http://hostname:port_number/analyticsが保護され、そのかわりにオンライン・カタログ・マネージャの参照先をURL http://hostname:port_number/analytics-wsに変更することが必要になります。このURLは、保護しないまま維持する必要があります。Oracle BI Publisher、Oracle BI Add-in for Microsoft Officeおよびオンライン・カタログ・マネージャによって使用されたときにSOAPアクセスのみを受け入れるように構成されます。

SSOが有効な場合にオンライン・カタログ・マネージャにログインするには、analytics-ws/saw.dllをポイントするようにURLの接尾辞を変更する必要があります。

5 Oracle Business IntelligenceでのSSL構成

この章では、Secure Socket Layer (SSL)を介した通信を行えるようにOracle BIコンポーネントを構成する方法について説明します。

注意:

セキュリティ設定手順の詳細なリストは、第1.7項「Oracle Business Intelligenceのセキュリティを設定するための詳細な手順」を参照してください。

Oracle Business IntelligenceのSSL Everywhere機能を使用すると、コンポーネント間のセキュアな通信が可能になります。デプロイメント全体でセキュアなHTTP通信が行われるように、Oracle Business Intelligenceコンポーネント間、およびOracle WebLogic Server間でのSSL通信を構成できます。この項では、データベースやWebサーバーといった外部サービスとのセキュアな通信の構成については説明しません。Oracle WebLogic Serverに対してSSLを構成する方法は、『Oracle Fusion Middleware管理者ガイド』のOracle Fusion MiddlewareでのSSL構成に関する項を参照してください。

この章には次の項が含まれます:

- 第5.1項「Oracle Business Intelligenceの一般的なSSL構成タスク」

- 第5.2項「SSLとは」

- 第5.3項「コンポーネント間のSSL通信の構成」

- 第5.4項「その他のSSL構成オプション」

- 第5.5項「高度なSSL構成オプション」

5.1 Oracle Business Intelligenceの一般的なSSL構成タスク

表5-1は、一般的なSSL構成タスクの一覧と、それぞれの詳細情報の参照先となるリンクを示します。

表5-1 タスク・マップ: Oracle Business IntelligenceのSSL通信の構成

タスク

説明

情報

Oracle Business IntelligenceでのSSL通信について理解します。

コンポーネントとアプリケーション・サーバー間でのSSL通信がどのように動作するかを理解します。

第5.2項「SSLとは」

Oracle WebLogic Server管理対象サーバー間でのSSL通信を構成します。

Oracle Business Intelligenceに対してSSL通信を有効にするには、HTTPSを使用するように、事前にWebサーバーを構成しておく必要があります。

第5.3.3項「HTTPSプロトコルを使用するためのWebLogicの手動構成」

Oracle Fusion Middleware管理者ガイドのOracle Fusion MiddlewareでのSSL構成に関する項

コンポーネント間のSSL通信を構成します。

Oracle Business Intelligenceコンポーネント間のSSL通信を構成します。

第5.3項「コンポーネント間のSSL通信の構成」

5.2 SSLとは

SSLは、ネットワーク全体のアプリケーション間でセキュアな通信を有効にするための暗号プロトコルです。SSL通信を有効にすることで、メッセージの暗号化、データ整合性、認証など、いくつもの機能による利益を享受できます。メッセージを暗号化することで、認可されたユーザーだけがこれにアクセスできるという機密保護を徹底できます。データ整合性は、メッセージが改ざんされることなく、元の状態のままで受信されることを保証します。認証は、メッセージの送信者が実際にその人物であることを保証します。この項には次のトピックが含まれます:

- 第5.2.1項「Oracle Business IntelligenceでのSSLの使用」

- 第5.2.2項「Oracle Business Intelligenceでの証明書と鍵の作成」

- 第5.2.3項「資格証明ストア」

SSLの概念、および公開鍵による暗号化の詳細は、『Oracle Fusion Middleware管理者ガイド』のSSLの動作に関する項を参照してください。

5.2.1 Oracle Business IntelligenceでのSSLの使用

デフォルトでは、Oracle Business IntelligenceコンポーネントはTCP/IPを使用して相互通信します。Oracle Business Intelligenceコンポーネント間でSSLを構成すると、セキュアなネットワーク通信が可能になります。

Oracle Business Intelligenceコンポーネントは通信する際、一度に1つのプロトコルしか使用できません。あるコンポーネント間で単純なTCP/IP通信を行いながら、別のコンポーネント間でSSLを使用することはできません。セキュアな通信を有効にするには、次のOracle Business Intelligenceコンポーネントのすべてのインスタンスを、SSLを使用して通信するように構成する必要があります。

- Oracle BIサーバー

- Oracle BIプレゼンテーション・サービス

- Oracle BI JavaHost

- Oracle BIスケジューラ

- Oracle BIジョブ・マネージャ

- Oracle BIクラスタ・コントローラ

- Oracle BIサーバーのクライアント(Oracle BI ODBCクライアントなど)

SSLを使用する場合は、セッションのネゴシエーション用に、サーバーが公開鍵と秘密鍵を保有している必要があります。公開鍵は、サーバー証明書によって使用可能になります。証明書には、サーバーを識別する情報も含まれます。秘密鍵はサーバーによって保護されます。

Oracle Business Intelligenceインストール全体のSSLは、1つの中央地点から構成されます。証明書が作成され、すべてのOracle Business IntelligenceコンポーネントがSSLを使用するように構成されます。SSLによって、次のデフォルトのセキュリティ・レベルが構成されます。

- SSL暗号化が有効化されています。

- SSL相互認証は有効化されません。SSL相互認証が有効にされないため、クライアントが各自のSSL秘密鍵を所有する必要はありません。セキュリティに関するすべてのコンポーネント間通信リンクは、BISystemUser資格証明、またはユーザーの資格証明によって認証されます。

- デフォルトの暗号スイートを使用します。デフォルト以外の暗号スイートを使用する方法は、第5.5項「高度なSSL構成オプション」を参照してください。

- スケールアウトの際、一元管理されたSSL構成は、追加されたすべての新規コンポーネントに自動的に伝搬されます。

より高度なセキュリティが必要な場合は、SSLによる一元的な構成を、手動構成によって強化または置換できる場合もあります。これは、相当複雑な処理となります。SSLを手動で構成する方法の詳細は、Oracleサポートにお問合せください。詳細は、「Oracleサポートへのアクセス」を参照してください。

5.2.2 Oracle Business Intelligenceでの証明書と鍵の作成

SSLを使用したセキュアな通信には、認証局(CA)による署名のある証明書が必要です。内部での通信には、SSL Everywhere機能により、プライベートな認証局および証明書が作成されます。ユーザーのWebブラウザはプライベートな認証局を認識しないため、内部証明書は外部に向けたWebサーバーでは使用できません。したがって、Webサーバーには、外部で認知された認証局によって署名されたWebサーバー証明書を用意する必要があります。Oracle Business IntelligenceコンポーネントがWebサーバー証明書を認識できるように、集中SSL構成には、外部認証局のルート証明書を使用する必要があります。

5.2.3 資格証明ストア

Oracle Business Intelligenceの資格証明ストアは、証明書、信頼できる証明書、証明書リクエスト、秘密鍵などのSSL資格証明の保管に使用します。SSL関連の資格証明は、oracle.bi.enterprise資格証明マップに保管されます。サポートされる証明書ファイル形式は、.derおよび.pemです。

5.3 コンポーネント間のSSL通信の構成

この項では、Fusion Middleware Control(推奨される方法)を使用するか手動でコンポーネント間のSSL通信を構成する方法を説明します。次のトピックがあります。

- 第5.3.1項「Fusion Middleware ControlおよびOracle WebLogic Server管理コンソールの使用によるコンポーネント間のSSL通信の構成」

- 第5.3.2項「Fusion Middleware Controlの使用によるSMTPサーバーのSSLの構成」

- 第5.3.3項「HTTPSプロトコルを使用するためのWebLogicの手動構成」

- 第5.3.4項「MBeanブラウザの使用によるコンポーネント間のSSL通信の手動構成」

5.3.1 Fusion Middleware ControlおよびOracle WebLogic Server管理コンソールの使用によるコンポーネント間のSSL通信の構成

この項では、Fusion Middleware ControlおよびOracle WebLogic Server管理コンソールを使用して、コンポーネント間のSSL通信を設定する方法について説明します。

注意:

この方法ではピア(つまり、BIシステム・コンポーネント間の双方向SSL)は検証されず、Weblogicサーバーで使用される証明書は、常にデモ用のCA証明書を使用して署名されているものとみなされます。

Fusion Middleware ControlおよびOracle WebLogic Server管理コンソールを使用して、コンポーネント間のSSL通信を構成するには:

コンポーネント間のSSL通信を有効にする前に、WebサーバーでSSLを構成する必要があります。詳細は、第5.3.3項「HTTPSプロトコルを使用するためのWebLogicの手動構成」を参照してください。

1. Fusion Middleware Controlにログインします。
詳細は、第1.6.2項「Oracle Fusion Middleware Controlの使用」を参照してください。

2. 「セキュリティ」ページに移動して、「SSL」タブを表示します。
ページの「ヘルプ」ボタンをクリックして、要素に関するページレベルのヘルプを表示します。

3. 「構成をロックして編集」をクリックします。

4. 「中間層の通信にSSLを使用」チェック・ボックスが無効な場合:
このチェック・ボックスが警告(「WebLogicのSSLリスニング・ポートが有効ではありません。このポートが有効になるまでOracle BIのSSLを有効にできません。」)とともに無効にされている場合、次のいずれかの項目が該当する可能性があります。

- Oracle WebLogic Server管理コンソールで「SSLリスニング・ポート有効」チェック・ボックスが有効になっているが、管理サーバーおよびすべての管理対象サーバー(インストール・タイプによって異なる)を再起動しなければならない可能性がある。
『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のOracle Business Intelligenceコンポーネントの起動と停止に関する項を使用して、管理サーバーとすべての管理対象サーバーを再起動します。

- Oracle WebLogic Server管理コンソールで「SSLリスニング・ポート有効」チェック・ボックスが有効でない。
手順は次のとおりです。

1. 「SSLを構成するには、Oracle WebLogic Server管理者コンソールに移動します。」をクリックし、Oracle WebLogic ServerでSSLリスニング・ポートを構成します。
Oracle WebLogic Server管理コンソールのログイン・ページが表示されます。

2. Oracle WebLogic Server管理コンソールにログインします。
詳細は、第1.6.1項「Oracle WebLogic Server管理コンソールの使用」を参照してください。

3. 「AdminServerの設定」ページ→「一般」タブに移動します。

4. 「チェンジ・センター」で、「ロックして編集」をクリックします。

5. 「リスニング・ポートの有効化」チェック・ボックスを選択解除します。

6. 「SSLリスニング・ポートの有効化」チェック・ボックスを選択します。

7. チェンジ・センターで、変更のアクティブ化をクリックします。

8. 管理サーバーとすべての管理対象サーバーを再起動します。

注意:

管理対象サーバーのインストールはインストール・タイプに応じて異なります。簡易インストールでは管理サーバー、エンタープライズ・インストールでは管理サーバーと管理対象サーバー、クラスタ・インストールでは管理サーバーと1つ以上の管理対象サーバーがインストールされます。

詳細は、『Oracle Fusion Middleware System Oracle Business Intelligence Enterprise Edition管理者ガイド』のOracle Business Intelligenceコンポーネントの開始と停止に関する項を参照してください。

9. Fusion Middleware Controlの「SSL」タブを表示します。

5. 「中間層の通信にSSLを使用」チェック・ボックスが選択可能な場合は選択します。
このチェック・ボックスを選択すると、SSLがOracle Business Intelligenceコンポーネント間の通信手段として有効になります。

6. 「適用」をクリックしてから、「変更のアクティブ化」をクリックします。

7. Fusion Middleware Controlを使用してOracle Business Intelligenceコンポーネントを再起動します。
詳細は、『Oracle Fusion Middleware System Oracle Business Intelligence Enterprise Edition管理者ガイド』のOracle Business Intelligenceコンポーネントの開始と停止に関する項を参照してください。

8. 「内部SSL通信ステータスを確認するためのSSLレポートを表示します。」リンクをクリックして、SSLのステータスを表示します。
または、第5.3.4.6項「MBeanブラウザの使用によるSSLステータスの確認」を参照してください。

このリンクはSSLが有効な場合のみ表示されます。

5.3.2 Fusion Middleware Controlの使用によるSMTPサーバーのSSLの構成

SMTPサーバーのサーバー証明書を取得する必要があります。

Fusion Middleware Controlを使用してSMTPサーバーのSSLを構成するには:

1. Fusion Middleware Controlにログインします。
詳細は、第1.6.2項「Oracle Fusion Middleware Controlの使用」を参照してください。

2. 「Business Intelligence概要」ページに移動します。

3. 「デプロイメント」ページの「メール」タブを表示します。
ページの「ヘルプ」ボタンをクリックして、要素に関するページレベルのヘルプを表示します。

4. 「構成をロックして編集」をクリックして、構成をロックします。

5. 「Secure Socket Layer (SSL)」の各フィールドを、次のように処理します。

- 「接続セキュリティ」ドロップダウン・リストからオプションを選択します。これにより、他のフィールドがアクティブになります。

- CA証明書ソースの指定: 「ディレクトリ」または「ファイル」を選択します。

- CA証明書ディレクトリ: CA証明書を含むディレクトリを指定します。

- CA証明書ファイル: CA証明書のファイル名を指定します。

- SSL証明書検証の深さ: 証明書に適用する検証レベルを指定します。

- SSL暗号リスト: SMTPサーバーがサポートする暗号スイート名に一致する暗号のリストを指定します。たとえば、RSA+RC4+SHAなどです。

6. 「適用」をクリックしてから、「変更のアクティブ化」をクリックします。

5.3.3 HTTPSプロトコルを使用するためのWebLogicの手動構成

Oracle Business IntelligenceのSSL通信を有効にする前に、(クラスタ内のすべての管理対象サーバーに対して)HTTPSを使用するようにWebLogicリスニング・ポートを構成する必要があります。Oracle WebLogic Serverに対してSSLを構成する方法の詳細は、『Oracle Fusion Middleware管理者ガイド』のOracle Fusion MiddlewareでのSSL構成に関する項を参照してください。

Oracle WebLogic Serverで実行されるOracle Business Intelligence Javaコンポーネントの一部は、Oracle WebLogic Serverで実行される他のWebサービスを起動します。このため、次のJavaプロパティを設定して、Oracle WebLogic Serverが自身を信頼するように構成する必要があります。

- javax.net.ssl.trustStore

- javax.net.ssl.trustStorePassword

これらのプロパティを設定するには、次のファイルを編集します。

Linuxの場合:

MW_HOME/user/projects/domains/bifoundation_domain/bin/setDomainEnv.sh

Windowsの場合:

MW_HOME\user\projects\domains\bifoundation_domain\bin\setDomainEnv.cmd

各プロパティは、JAVA_OPTIONS値の末尾に追加します。パス内の\記号はすべて、もう1つの\記号でエスケープする必要があります。

たとえば、デモのOracle WebLogic Server証明書を使用する場合は、次のように編集します。

Linuxの場合(すべて1行に表示):

JAVA_OPTIONS="${JAVA_OPTIONS} -Djavax.net.ssl.trustStore=MW_Home/wlsserver_10.3/server/lib/DemoTrust.jks -Djavax.net.ssl.trustStorePassword="

Windowsの場合(すべて1行に表示):

set JAVA_OPTIONS=%JAVA_OPTIONS% -Djavax.net.ssl.trustStore="MW_Home\wlserver_10.3\server\lib\DemoTrust.jks" -Djavax.net.ssl.trustStorePassword=""

この手順を省略すると、ログインに失敗します。

ベスト・プラクティスは、HTTPリスナーを無効にし、HTTPSリスナーだけを残すことです。HTTPリスナーを無効にした後は、Oracle WebLogic Serverを再起動する必要があります。Oracle WebLogic Serverを再起動しないと、Oracle Business Intelligenceへのログインは失敗します。

トラスト・ストアの場所の指定が不適切だと、SOA用Webサービスで、次のようなエラー・メッセージが表示されます。

java.security.InvalidAlgorithmParameterException: the trustAnchors parameter must be non-empty

5.3.4 MBeanブラウザの使用によるコンポーネント間のSSL通信の手動構成

この項では、MBeanブラウザを使用してコンポーネント間のSSL通信を手動で構成する方法について説明します。第5.3.1項「Fusion Middleware ControlおよびOracle WebLogic Server管理コンソールの使用によるコンポーネント間のSSL通信の構成」を使用することをお薦めします。

表5-2は、コンポーネント間のSSL通信を手動で構成するタスク(MBeanブラウザの使用を含む)と、それぞれの詳細情報の参照先となるリンクを示します。

注意:

Oracle Business Intelligenceに対してSSLを有効にするには、事前にWebサーバーのSSLを構成しておく必要があります。詳細は、第5.3.3項「HTTPSプロトコルを使用するためのWebLogicの手動構成」を参照してください。

表5-2 タスク・マップ: MBeanブラウザの使用によるコンポーネント間のSSL通信の手動構成

タスク

説明

参照先

構成をロックします。

変更を加える前に、BIDomain MBeanを使用してドメイン構成をロックします。

第5.3.4.1項「構成のロック」

SSL証明書を生成します。

BIDomain.BIInstance.SecurityConfiguration MBeanを使用して、SSL証明書を生成します。

第5.3.4.2項「SSL証明書の生成」

SSL構成の変更をコミットします。

BIDomain MBeanを使用して、SSL構成の変更をコミットします。

第5.3.4.3項「SSL構成変更のコミット」

資格証明ストアのSSL証明書を検証します。

SSL証明書が資格証明ストアに保存されているかどうかを検証します。

第5.3.4.4項「資格証明ストアのSSL資格証明の検証」

SSL構成を有効にし、Oracle Business Intelligenceコンポーネントを再起動します。

BIDomain.BIInstance.SecurityConfiguration MBeanを使用してコンポーネント間のSSL構成を有効にし、変更を適用するため、各コンポーネントを再起動します。

第5.3.4.5項「SSL構成の有効化」

コンポーネント間のSSL通信が有効であることを確認します。

SSLレポートを実行し、ステータスを確認します。

第5.3.4.6項「MBeanブラウザの使用によるSSLステータスの確認」

メール・サーバーのSSL通信を構成します。

メール・サーバーのSSL通信を構成します。

第5.3.2項「Fusion Middleware Controlの使用によるSMTPサーバーのSSLの構成」

期限切れのSSL証明書を更新します。

期限切れのSSL証明書を更新し、新規証明書で置換します。

第5.3.4.7項「期限切れのSSL証明書の更新」

コンポーネント間の内部SSL通信は、Oracle Business IntelligenceマネージドBean (MBeans)を使用して手動で構成できます。MBeanは、分散環境において管理可能なJMXリソース(アプリケーションなど)を表すJavaオブジェクトです。

Oracle Business Intelligenceコンポーネント間のSSL通信を手動で構成するには、Fusion Middleware ControlのシステムMBeanブラウザを使用します。システムMBeanブラウザは、Fusion Middleware ControlにOracle Business IntelligenceがインストールされているOracle WebLogic Serverドメインからアクセスされます。たとえばbifoundation_domainなどです。

Fusion Middleware Controlの使用およびナビゲートの詳細は、『Oracle Fusion Middleware管理者ガイド』のFusion Middleware Control内でのナビゲートに関する項を参照してください。

5.3.4.1 構成のロック

コンポーネント間のSSLを構成するには、変更を加える前に構成をロックする必要があります。構成のロックには、BIDomain MBeanを使用します。

構成をロックするには:

1. Fusion Middleware Controlのターゲット・ナビゲーション・ペインで、Oracle Business IntelligenceがインストールされているOracle WebLogic Serverドメインに移動します。このドメインを選択します。たとえばbifoundation_domainなどです。

2. 「WebLogicドメイン」メニューから「システムMBeanブラウザ」を選択します。

3. MBeanナビゲーション・ツリーで「アプリケーション定義のMBean」ノードを開き、oracle.biee.adminノードを開いてbifoundation_domainノードを開きます。

4. 目的のBIDomainノードを見つけて開き、2つのBIDomain MBeanを表示します。次に、各MBean上にカーソルを合せるか、または「MBean情報の表示」をクリックして、それぞれのフルネームを表示します。

- oracle.biee.admin:type=BIDomain, group=Service

- oracle.biee.admin:type=BIDomain, group=Config

5. MBeanナビゲーション・ツリーから、フルネームがoracle.biee.admin:type=BIDomain, group=ServiceとなっているBIDomain MBeanを選択します。
図bidomain_mbean.gifの説明

6. 「操作」タブを選択して、「ロック」を選択します。

7. 「起動」をクリックします。
構成がロックされたことを示す確認メッセージが表示されます。次の手順では、SSL証明書を生成します。詳細は、第5.3.4.2項「SSL証明書の生成」を参照してください。

5.3.4.2 SSL証明書の生成

内部SSL通信を行うには、サーバー証明書、サーバー公開鍵および秘密鍵を生成する必要があります。Oracle Business Intelligenceは、内部通信のみにおいてプライベートCA(認証局)として機能します。SSL証明書の生成には、BIDomain.BIInstance.SecurityConfiguration MBeanが使用されます。

注意:

既存の証明書がある場合のベスト・プラクティスは、既存の証明書を破棄してから、次の手順を実行して新規証明書を生成します。既存の証明書を使用する場合は、SSLを手動で構成する必要があります。

SSL証明書を生成するには:

1. 構成をロックします。
詳細は、第5.3.4.1項「構成のロック」を参照してください。

2. Fusion Middleware Controlのターゲット・ナビゲーション・ペインでファームを開き、「WebLogicドメイン」を開いて、「bifoundation_domain」を選択します。

3. 「WebLogicドメイン」メニューを表示して、「システムMBeanブラウザ」を選択します。
「システムMBeanブラウザ」ページが表示されます。

4. MBeanナビゲーション・ツリーで「アプリケーション定義のMBean」ノードを開き、oracle.biee.adminノードを開いてbifoundation_domainノードを開きます。

5. BIDomain.BIInstance.SecurityConfigurationノードを特定して開きます。
BIDomain.BIInstance.SecurityConfiguration MBeanが表示されます。

6. BIDomain.BIInstance.SecurityConfiguration MBeanを選択します。
右側のペインに、MBeanの構成オプションが表示されます。

7. 「属性」タブを選択し、SSLCertificatesGenerated属性を特定します。値falseは、SSL証明書が生成されていないことを示します。以前に証明書が生成されている場合は、手順を続行し、これらを新規証明書で置換できます。
図mbean_sslenabled_false.gifの説明

8. 「操作」タブを選択します。
図securityconfig_mbean_oper.gifの説明

9. 「generateSSLCertificates」操作を選択します。
BIDomain.BIInstance.SecurityConfiguration MBeanのgenerateSSLCertificates属性の各パラメータが表示されます。

図securityconfig_mbean_genssl.gifの説明

10. 次のパラメータの値を指定します。

- passphrase: 7文字以上にする必要があります。SSLパスフレーズは様々な証明書、および最も重要となる秘密鍵を保護します。このパスフレーズは忘れないようにしてください。たとえば、パスフレーズは、BIサーバー証明書の検証を必要とするコマンドライン・ツールを使用してBIサーバーに接続する場合などに必要となります。

- webServerCACertificatePath: Webサーバー証明書の署名に使用した認証局(CA)の、CAルート証明書までのパスを入力します。個別のWebサーバー証明書は入力しないでください。サポートされるタイプは.der.および.pemです。Oracle WebLogic Serverのデフォルトのデモ認証局の場合は、<MW_HOME>/wlserver_10.3/server/lib/CertGenCA.derと入力します。

注意:

Oracle WebLogic Serverには、デモ以外の証明書をインストールすることをお薦めします。署名を行うのは、認知された公的な認証局と社内の認証局のどちらでもかまいません。CAルート証明書は、該当する認証局から直接取得するか、または使用するWebブラウザからエクスポートして取得します。

- certificateEncoding: サポートされるタイプは.der.および.pemです。Oracle WebLogic Serverのデフォルトを使用する場合は、derと入力します。

11. 「起動」をクリックします。
操作が正常に実行されたかどうかを示す確認メッセージが表示されます。成功した場合は、入力したCA証明書が検証され、証明書生成リクエストがキューに入れられます。次の手順は変更のコミットであり、これによって証明書の作成、およびドメイン全体への配布が完了します。詳細は、第5.3.4.3項「SSL構成変更のコミット」を参照してください。

5.3.4.3 SSL構成変更のコミット

SSL構成変更をコミットするには、BIDomain MBeanを使用します。

注意:

Oracle Business Intelligenceに対してSSLを有効にするには、事前にWebサーバーのSSLを構成しておく必要があります。詳細は、第5.3.3項「HTTPSプロトコルを使用するためのWebLogicの手動構成」を参照してください。

SSL構成をコミットするには:

1. システムMBeanブラウザから、BIDomain MBeanにナビゲートします。フルネームがoracle.biee.admin:type=BIDomain, group=ServiceとなっているMBeanを使用します。
BIDomain MBeanへのナビゲートの詳細は、第5.3.4.1項「構成のロック」のステップ1 - 5を参照してください。

2. フルネームがoracle.biee.admin:type=BIDomain, group=ServiceとなっているBIDomain MBeanを選択します。

3. 「操作」タブを選択して、「simpleCommit」を選択します。

4. 「起動」をクリックします。
図bidomain_mbean_commit.gifの説明

コミット操作が成功したかどうかを示す確認メッセージが表示されます。

次の手順では、SSL資格証明が資格証明ストア内に保存されていることを検証します。詳細は、第5.3.4.4項「資格証明ストアのSSL資格証明の検証」を参照してください。

5.3.4.3.1 トラブルシューティングのヒント

コミット操作に失敗した場合は、次のようなエラー・メッセージが表示されます。

SEVERE: Element Type: DOMAIN, Element Id: null, Operation Result:
VALIDATION_FAILED, Detail Message: SSL must be enabled on AdminServer before
enabling on BI system; not set on server: AdminServer

このメッセージは、Oracle WebLogic Server管理対象サーバーで、前提条件にもなっているSSLの有効化が行われていないことを示しています。詳細は、第5.3.3項「HTTPSプロトコルを使用するためのWebLogicの手動構成」を参照してください。この前提条件が整ってから、コミット操作を再実行します。

5.3.4.4 資格証明ストアのSSL資格証明の検証

SSL資格証明は、Oracle Business Intelligenceの資格証明ストアに保存されます。

資格証明ストアのSSL資格証明を検証するには:

1. 必要に応じて、Fusion Middleware Controlのターゲット・ナビゲーション・ペインでファームを開き、「WebLogicドメイン」を開いて、「bifoundation_domain」を選択します。

2. 「WebLogicドメイン」メニューで、「セキュリティ」→「資格証明」を選択します。
図fmc_navigation.gifの説明

3. oracle.bi.enterprise資格証明マップを開き、SSL資格証明が資格証明ストアに保存されているかどうかを検証します。成功すると、oracle.bi.enterprise資格証明マップに次のSSL資格証明が表示されます。

- ssl.java.private.key

- ssl.java.public.certificate

- config.version

図credentials.gifの説明

また、各証明書は、MW_HOME\user_projects\domains\bifoundation_domain\config\fmwconfig\biinstances\coreapplication\sslの各ミドルウェア・ホームにもコピーされます。各証明書ファイルは次のとおりです。

- cacert.pem: プライベートCAの証明書。BIサーバーの証明書を検証しようとするコマンドライン・ツールは、このファイルをポイントします。

- webservercacert.pem: Webサーバー証明書に署名したパブリックCAの証明書。これはgenerateSSLCertificate操作で登録されたCA証明書のコピーであり、.pem形式です。

- javaserver.keystore: すべての証明書を、Javaクライアントによる使用に適した形式で保持。内容は次のとおりです。

別名

証明書

javaservercert

サーバー

javaserverkey

キー

internalcacertificate

秘密鍵

webservercacertificate

WebサーバーCA

- server-key.pem: opensslサーバーの秘密鍵。

次の手順では、SSL構成変更を有効にします。詳細は、第5.3.4.5項「SSL構成の有効化」を参照してください。

5.3.4.5 SSL構成の有効化

SSLを有効にするには、事前に構成をロックする必要があります。

注意:

SSL構成を有効にした後は、Oracle Business Intelligenceコンポーネントを再起動する必要があります。

1. SSL構成を有効にする前に、WebサーバーがHTTPSを使用するように構成されているかどうかを確認します。必要に応じて、次の手順に進む前にWebサーバーを構成します。
Oracle WebLogic Serverに対してSSLを構成する方法の詳細は、第5.3.3項「HTTPSプロトコルを使用するためのWebLogicの手動構成」を参照してください。

2. 構成をロックします。
詳細は、第5.3.4.1項「構成のロック」を参照してください。

3. システムMBeanブラウザから、BIDomain.BIInstanceSecurityConfiguration MBeanを選択します。
MBeanへのナビゲーション方法は、第5.3.4.2項「SSL証明書の生成」を参照してください。

4. 「属性」タブを選択し、SSLEnabled属性に対して「値」リストから「true」を選択し、「適用」をクリックします。管理サーバーおよびマネージャ・サーバーに対し、SSLリスニング・ポートを有効にする必要があります。詳細は、第5.3.3項「HTTPSプロトコルを使用するためのWebLogicの手動構成」を参照してください。
図mbean_sslenabled_true.gifの説明

5. BIDomain MBeanにナビゲートし、変更をコミットします。
詳細は、第5.3.4.3項「SSL構成変更のコミット」を参照してください。

これで、コンポーネント間のSSL通信が有効になりました。変更を有効にするため、Oracle Business Intelligenceコンポーネントを再起動する必要があります。

6. Fusion Middleware Controlの「Oracle Business Intelligence概要」ページから、Oracle Business Intelligenceコンポーネントを再起動します。
詳細は、『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のOracle Business Intelligenceシステム・コンポーネントの起動と停止に関する項を参照してください。

5.3.4.6 MBeanブラウザの使用によるSSLステータスの確認

BIDomain.BIInstance.SecurityConfiguration MBeanを使用してSSLレポートを実行し、コンポーネント間のSSL通信が動作していることを確認できます。

SSLレポートを実行してステータスを確認するには:

1. システムMBeanブラウザから、BIDomain.BIInstanceSecurityConfiguration MBeanを選択します。
MBeanへのナビゲーション方法は、第5.3.4.2項「SSL証明書の生成」を参照してください。SSLレポートを実行する場合は、構成をロックする必要はありません。

2. 「操作」タブを選択して、「runSSLReport」オプションを選択します。
図securityconfig_mbean_oper.gifの説明

3. レポートを実行するには、「起動」をクリックします。
コンポーネント間のSSL通信のステータスを表すレポートが表示されます。例5-1「SSLレポートの出力例」を参照してください。

SSL pingに失敗した場合は、次の点をチェックします。

- ターゲット・コンポーネントが実行中であることを確認します。

- SSLを有効にした後、コンポーネントが再起動されていることを確認します。SSL構成の変更を有効にするには、再起動が必要です。

- BIDomain.BIInstanceSecurityConfiguration MBeanのSSLEnabled属性がtrueに設定されていることを確認します。SSLプロパティを変更した場合は、適用およびコミット処理を実行する必要があります。

例5-1 SSLレポートの出力例

OracleBIPresentationServicesComponent
(1) <machine_name>:9710. SSL ping OK. peer: <machine_name> port: 9710 protocol: SSLv3 cipher suite: SSL_RSA_WITH_RC4_128_MD5
local certificates: null
peer certificates: #18, expires Tue might 17 15:23:02 BST 2011 for CN=OBIEE Installer Openssl, OU=Business Intelligence, O=Oracle, C=US#9879704091745165219, expires Tue might 17 15:23:02 BST 2011 for C=US, O=org, OU=unit, CN=OBIEE Installer CA

OracleBIClusterControllerComponent
(No instances configured)

OracleBISchedulerComponent
(1) <machine_name>:9705. SSL ping OK. peer: <machine_name> port: 9705 protocol: SSLv3 cipher suite: SSL_RSA_WITH_RC4_128_MD5
local certificates: null
peer certificates: #18, expires Tue might 17 15:23:02 BST 2011 for CN=OBIEE Installer Openssl, OU=Business Intelligence, O=Oracle, C=US

OracleBIJavaHostComponent
(1) <machine_name>:9810. SSL ping OK. peer: <machine_name> port: 9810 protocol: SSLv3 cipher suite: SSL_RSA_WITH_RC4_128_MD5
local certificates: null
peer certificates: #19, expires Tue might 17 15:23:03 BST 2011 for CN=OBIEE Installer Java, OU=Business Intelligence, O=Oracle, C=US

OracleBIServerComponent
(1) <machine_name>:9703. SSL ping OK. peer: <machine_name> port: 9703 protocol: SSLv3 cipher suite: SSL_RSA_WITH_RC4_128_MD5
local certificates: null
peer certificates: #18, expires Tue might 17 15:23:02 BST 2011 for CN=OBIEE Installer Openssl, OU=Business Intelligence, O=Oracle, C=US

SSL ok on 4 out of 4 components.

5.3.4.7 期限切れのSSL証明書の更新

SSL Everywhereの集中構成によって生成された証明書は、1年後に失効します。証明書の有効期限は、SSLステータス・レポートにリストされます。SSLレポートの実行方法の詳細は、第5.3.4.6項「MBeanブラウザの使用によるSSLステータスの確認」を参照してください。証明書の失効メッセージの表示例は、例5-1「SSLレポートの出力例」を参照してください。

失効間近の証明書を置換するには、第5.3.4.2項「SSL証明書の生成」の手順に従って新規証明書を生成し、Oracle Business Intelligenceコンポーネントを再起動します。

5.4 その他のSSL構成オプション

Oracle Business Intelligenceのコンポーネントおよびツールに必要となるその他の構成オプションは、次のとおりです。

- 第5.4.1項「BIスケジューラのSSLが有効化されている場合のSASchInvokeの使用」

- 第5.4.2項「Oracle BIジョブ・マネージャの構成」

- 第5.4.3項「オンライン・カタログ・マネージャの接続の有効化」

- 第5.4.4項「SSL経由で通信するためのOracle BI管理ツールの構成」

- 第5.4.5項「リモート・クライアント・アクセス用のODBC DSNの構成」

- 第5.4.6項「複数認証プロバイダ使用時のSSLの構成」

5.4.1 BIスケジューラのSSLが有効化されている場合のSASchInvokeの使用

BIスケジューラでSSL通信が有効化されている場合は、SASchInvokeコマンドライン・ユーティリティを使用してBIスケジューラを起動できます。

SASchInvokeコマンドを実行するには、次の構文を使用します。

SASchInvoke -u <Admin Name>  (-j <job id> | -i <iBot path>)  [-m <machine name>[:<port>]]  [(-r <replace parameter filename> | -a <append parameter filename>)] [-l [ -c SSL certificate filename> -k <SSL certificate private key filename> [ -w <SSL passphrase>  | -q <passphrase file>  | -y ]] [-h <SSL cipher list>] [-v [-e <SSL verification depth>] [-d <CA certificate directory>] [-f <CA certificate file>] [-t <SSL trusted peer DNs>] ] ]

このコマンドでは、管理者パスワードの入力を求められます。

5.4.2 Oracle BIジョブ・マネージャの構成

SSLが有効化されているBIスケジューラに適切に接続するには、SSLを使用して通信を行うようにOracle BIジョブ・マネージャを構成する必要があります。

Oracle BIジョブ・マネージャはJavaベースのコンポーネントであり、これによって使用される鍵および証明書は、Javaキーストア・データベースに格納しておく必要があります。

SSLを使用してBIスケジューラ・サーバーと通信するようにOracle BIジョブ・マネージャを構成するには、次の手順を実行します。

Oracle BIジョブ・マネージャを構成するには:

1. 「ファイル」メニューからOracle BIジョブ・マネージャを選択し、「スケジューラ接続を開く」を選択します。

2. ダイアログ・ボックスの「Secure Socket Layer」セクションで、「SSL」チェック・ボックスを選択します。
集中SSL構成を使用している場合は、相互認証が設定されないため、このダイアログ・ボックスで追加の値を指定する必要はありません。

3. 「OK」をクリックして終了します。

4. BI Schedulerが「クライアント証明書が必要」に設定されている場合は、「キー・ストア」と「キー・ストア・パスワード」を次のように設定する必要があります。

- キー・ストア=MW_HOME\user_projects\domains\bifoundation_domain\config\fmwconfig\biinstances\coreapplication\ssl\javaserver.keystore.

- キー・ストア・パスワード = generateSSLCertificates操作で入力したパスフレーズ。第5.3.4.2項「SSL証明書の生成」のステップ9を参照してください。

5. 「サーバー証明書の確認」チェック・ボックスを選択します。この項目を選択する場合は、トラスト・ストア・ファイルを指定する必要があります。このトラスト・ストアには、スケジューラ・サーバーの証明書を検証するCAが含まれます。

6. 「トラスト・ストア」テキスト・ボックスに、認証局ファイルを保持するキー・ストアのパスおよびファイル名を入力します。
前述の例では、CA証明書は、証明書および秘密鍵の保存場所と同じキー・ストアjavaserver.keystoreに保存されています。

7. 「トラスト・ストア・パスワード」テキスト・ボックスに、ステップ5で入力したキー・ストアのパスワードを入力します。

8. 上記のパラメータで指定した場所に、キー・ストア・ファイルおよびトラスト・ストア・ファイルをコピーします。

5.4.3 オンライン・カタログ・マネージャの接続の有効化

Oracle BI用のHTTP WebサーバーでSSLが有効化されていると、オンライン・カタログ・マネージャからOracle BIプレゼンテーション・サービスに接続できない場合があります。WebサーバーからSSLサーバー証明書またはCA証明書をインポートし、システム変数JAVA_HOMEによって指定されているJVM (JRocketなど)のJavaキー・ストアに格納する必要があります。

オンライン・カタログ・マネージャを有効にして接続するには:

1. MW_HOME/JAVA_HOME/ jre/lib/securityにあるJavaのデフォルトのトラスト・ストアに移動します。
たとえば、mw_home\jrocket_160_17_R28.0.0-679\jre\lib\securityとなります。

デフォルトのトラスト・ストア名はcacertsです。

2. Webサーバーからエクスポートした証明書を、Javaのデフォルト・トラスト・ストアと同じ場所にコピーします。

3. 次のコマンドを実行して、デフォルトのトラスト・ストアに証明書をインポートします。

keytool -import -trustcacerts -alias bicert -file $WebServerCertFilename -keystore cacerts -storetype JKS

このコマンドにより、Webサーバー証明書ファイル$WebserverCertFilenameが、Javaのデフォルトのトラスト・ストアであるcacertsに、bicertという別名でインポートされます。

たとえば、Oracle WebLogic Serverのデフォルトのデモ証明書を使用する場合であれば、証明書へのフルパスであるWLS_HOME/server/lib/CertGenCA.derを使用します。

注意:

Javaトラスト・ストアのデフォルトのパスワードは「changeit」です。

4. カタログ・マネージャを再起動します。

注意:

カタログ・マネージャは、セキュアなHTTPS URLを使用して起動する必要があります。

5.4.4 SSL経由で通信するためのOracle BI管理ツールの構成

SSLが有効化されているBIサーバーに適切に接続するには、管理ツールもSSLを使用して通信するように構成する必要があります。Oracle BIサーバーのデータ・ソースのDSNが必要となります。

SSL経由で通信するように管理ツールを構成するには:

1. プレゼンテーション・サービスの「 管理 」ページに管理ユーザーとしてログインして、使用されているOracle BIサーバーのデータ・ソースのDSNを確認します。
詳細は、『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』を参照してください。

2. 左上隅の「Oracle BIサーバー・データ・ソース」フィールドを確認します。DSNがcoreapplication_OH<DSNnumber>という形式で一覧表示されています。

3. 管理ツールで、「ファイル」、「開く」、「オンライン」の順に選択し、DSN番号を入力します。リストからDSNを選択します。

4. リポジトリのユーザー名およびパスワードを入力します。
これで、管理ツールはSSLを使用してBIサーバーに接続されます。

5.4.5 リモート・クライアント・アクセス用のODBC DSNの構成

Oracle BIサーバーでリモート・クライアント・アクセスを有効化するためのODBC DSNを作成できます。ODBC DSNに対してSSL通信を有効化する方法の詳細は、『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionインテグレーターズ・ガイド』のOracle Business Intelligenceとのその他のクライアントの統合に関する項を参照してください。

5.4.6 複数認証プロバイダ使用時のSSLの構成

複数の認証プロバイダを構成している場合に、SSL(一方向SSLのみ)で通信するLDAP認証プロバイダを追加構成するには、仮想化(libOVD)機能で使用される追加キーストアに、該当するLDAPサーバーのルート証明書を配置する必要があります。

複数認証プロバイダの使用時にSSLを構成するには:

注意:

このタスクを完了する前に、virtualizeというカスタム・プロパティを構成し、その値をtrueに設定する必要があります(詳細は、第3.4.5項「Fusion Middleware Controlの使用による複数の認証プロバイダの構成」を参照してください)。

1. キーストアを作成します。

1. 環境変数ORACLE_HOME、WL_HOMEおよびJAVA_HOMEを設定します。
たとえば次のようにします(Windowsの場合)。

set ORACLE_HOME=<MW_HOME>\Oracle_BI1

set WL_HOME=<MW_HOME>\wlserver_10.3

set JAVA_HOME=<MW_HOME>\jdk160_24

2. -createKeystoreオプションを使用して、libovdconfig.sh(UNIXの場合)またはlibovdconfig.bat(Windowsの場合)を実行し、キーストアを設定します。
たとえばUNIXでは、シェル・プロンプト開き、<MW_HOME>/oracle_common/binディレクトリに移動します。その上で、次のコマンドを実行します(Oracle Business Intelligenceの管理者ユーザー名とパスワードが求められます)。

./libovdconfig.sh -host <hostname> -port <Admin_Server_Port> -username <BI Admin User> -domainPath <MW_HOME>/user_projects/domains/bifoundation_domain -createKeystore

Windowsでの場所:

<MW_HOME>\oracle_common\bin\libovdconfig.bat

3. 入力を求められたら、Oracle Business Intelligenceの管理者パスワード、およびlibovdconfig.sh -createKeystoreコマンドで作成されたOVDキーストアのパスワード(キーストア・ファイルの保護に使用される新しいパスワード)を入力します。
このコマンドを実行すると、2つの新しい資格証明が、資格証明ストアと、<MW_HOME>\user_projects\domains\bifoundation_domain\config\fmwconfig\ovd\default\keystoresの下のadapters.jksという新しいキーストア・ファイルに表示されます。

2. ルート証明書をLDAPディレクトリからエクスポートします(方法については、LDAPのドキュメントを参照してください)。

3. keytoolコマンドを使用して、ルート証明書をlibOVDキーストアにインポートします。
<MW_HOME>/jdk160_24/bin/keytool -import -keystore <MW_HOME>\user_projects\domains\bifoundation_domain\config\fmwconfig\ovd\default\keystores/adapters.jks -storepass <KeyStore password> -alias <alias of your choice> -file <Certificate filename>

4. WebLogicおよびBIシステムのプロセスを再起動します。
詳細は、『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』を参照してください。

5.5 高度なSSL構成オプション

デフォルトのSSL構成では、デフォルトの暗号スイートによるネゴシエーションを使用します。組織におけるセキュリティ標準ではデフォルト構成の使用が許容されない場合は、別の暗号スイートを使用するようにシステムを構成できます。デフォルト構成は、SSLステータス・レポートの出力で確認できます。

このような高度なオプションは、SSL Everywhereの一元的な構成では構成されません。かわりに、個々のコンポーネントを手動で構成する必要があります。スケールアウトによって新規コンポーネントを追加した場合は、追加した各コンポーネントを個別に手動構成する必要があります。手動構成では、構成ファイル(.iniおよび.xml)を編集します。これらのファイル・タイプに対する構文上の規則を確認するように注意してください。ファイルが不適切だと、対応するコンポーネントはログ・ファイルにエラーを記録し、起動しなくなります。

手動構成したSSL環境は、デフォルトのSSL構成と共存できます。

SSL暗号スイートを手動構成するには:

1. 第5.3.4項「MBeanブラウザの使用によるコンポーネント間のSSL通信の手動構成」の指示に従い、SSL Everywhereを構成します。

注意:

手動で変更を加える前に、通常のロックおよびコミット・サイクルにより、BIDomain.BIInstance.SecurityConfigurationのSSLManualConfig MBeanを起動してください。

2. http://download.oracle.com/javase/1.5.0/docs/guide/security/jsse/JSSERefGuide.html#AppAの各オプションから、必要なJava暗号スイート名を選択します。

3. http://www.openssl.org/docs/apps/ciphers.html#CIPHER_LIST_FORMATのリストを使用して、選択した暗号スイートと一致するOpen SSL暗号スイート名を作成します。
たとえば、SSL_RSA_WITH_RC4_128_SHAというJava暗号スイート名は、Open SSLではRSA+RC4+SHAにマップされます。

4. ORACLE_INSTANCE\config\OracleBIJavaHostComponent\coreapplication_obijhn\ config.xmlにあるJavaHost構成ファイルを編集し、次のサブ要素をJavaHost/Listener/SSL要素に追加します。例:

<EnabledCipherSuites>SSL_RSA_WITH_RC4_128_SHA</EnabledCipherSuites>

5. クラスタ環境の場合は、ORACLE_INSTANCE/config/OracleBIApplication/coreapplication/NQClusterConfig.INIにあるクラスタ・コントローラの構成ファイルを編集し、次の例に示すように、SSL_CIPHER_LIST値を設定します。

SSL_CIPHER_LIST = "RSA+RC4+SHA";

6. ORACLE_INSTANCE/config/OracleBIPresentationServicesComponent/coreapplication_obipsn/instanceconfig.xmlにあるプレゼンテーション・サービスの構成ファイルを編集し、属性cipherSuites="RSA+RC4+SHA"をServerInstance要素内のListenerおよびJavaHostProxy要素に追加します。

7. ORACLE_INSTANCE/config/OracleBISchedulerComponent/coreapplication_obischn/instanceconfig.xmlにあるBIスケジューラの構成ファイルを編集し、次のサブ要素をscheduler/ServerInstance/SSLに追加します。例:

<CipherList>RSA+RC4+SHA</CipherList>

8. クラスタ環境の場合は、ORACLE_INSTANCE/config/OracleBIApplication/coreapplication/NQClusterConfig.INIにあるクラスタ・コントローラの構成ファイルを編集し、次の例に示すように、SSL_CIPHER_LIST値を設定します。

SSL_CIPHER_LIST = "RSA+RC4+SHA";

9. すべてのOracle Business Intelligenceコンポーネントを再起動します。
詳細は、『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のOracle Business Intelligenceシステム・コンポーネントの起動と停止に関する項を参照してください。

10. システムMBeanブラウザから、BIDomain.BIInstanceSecurityConfiguration MBeanを選択します。
SSLステータス・レポートを実行する前に、SSLManualConfig属性がfalseに設定されていることを確認します。

MBeanへのナビゲーション方法は、第5.3.4.2項「SSL証明書の生成」を参照してください。SSLレポートを実行する場合は、構成をロックする必要はありません。

11. 第5.3.4.6項「MBeanブラウザの使用によるSSLステータスの確認」の手順に従い、SSLステータス・レポートを実行して、SSLが有効化されていることを確認します。

A 代替セキュリティ管理オプション

この付録は、アップグレードされたシステムとの下位互換性を維持するために含まれている代替セキュリティ管理オプションについて説明するものであり、ベスト・プラクティスではありません。この付録には次の項が含まれます:

- 第A.1項「代替認証オプション」

- 第A.2項「代替認可オプション」

A.1 代替認証オプション

下位互換性のため、Oracle Business Intelligenceの複数のレガシー認証オプションが引き続きサポートされます。システムをアップグレードするためのベスト・プラクティスは、デフォルトのセキュリティ・モデルによって提供されるアイデンティティ・ストアおよび認証プロバイダを使用して、認証の実装を開始することです。組み込まれたディレクトリ・サーバーはインストールまたはアップグレード時にデフォルトのアイデンティティ・ストアおよび認証プロバイダとして構成され、すぐに使用できるようになります。デフォルトのセキュリティ・モデルの詳細は、第1章「Oracle Business Intelligenceのセキュリティの紹介」および付録B「デフォルト・セキュリティ構成の理解」を参照してください。

認証とは、ログイン中に提供されたユーザー名およびパスワードによって、システムへのログインに必要な資格証明をユーザーが持っていることを保証するために確認するプロセスのことです。BIサーバーは、受け取った接続リクエストをそれぞれ認証します。このリリースでは、下位互換性を維持するためにBIサーバーによって次のレガシー認証方式がサポートされています。

- 外部LDAPベースのディレクトリ・サーバー

- 外部初期化ブロック認証

- 表ベース

この項には次のトピックが含まれます:

- 第A.1.1項「初期化ブロックの使用によるLDAP認証の設定」

- 第A.1.2項「外部表認証の設定」

- 第A.1.3項「Oracle BIデリバーおよび外部初期化ブロックの認証について」

- 第A.1.4項「認証の順序」

- 第A.1.5項「カスタム認証システム・プラグインを使用する認証」

- 第A.1.6項「セッション変数の管理」

- 第A.1.7項「サーバー・セッションの管理」

A.1.1 初期化ブロックの使用によるLDAP認証の設定

ユーザー資格証明を認証のために外部LDAPサーバーへ渡すようにBIサーバーを設定できます。

レガシーのLDAP認証方式では、Oracle BI管理ツールで変数マネージャを使用して定義するOracle Business Intelligenceセッション変数を使用します。セッション変数の詳細は、『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionメタデータ・リポジトリ作成者ガイド』のOracle BIリポジトリでの変数の使用に関する項を参照してください。

初期化ブロックを使用してLDAP認証を設定するには:

1. 次のようにLDAPサーバーを作成します。

1. 管理ツールで「管理」を選択してから「アイデンティティ」を選択し、Identity Managerを起動します。

2. Identity Managerの左ペインで「ディレクトリ・サーバー」を選択します。

3. Identity Managerの右ペインで右クリックし、新規LDAPサーバーを選択します。「LDAPサーバー」ダイアログが表示されます。

4. フィールドに値を入力してLDAPサーバーを作成します。

2. LDAP初期化ブロックを作成し、LDAPサーバーに関連付けます。詳細は、『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionメタデータ・リポジトリ作成者ガイド』の初期化ブロックの作成に関する項を参照してください。

3. USERという名前のシステム変数を定義し、USER変数をLDAP属性に割り当てます(uid、sAMAccountName、cnなど)。
ユーザーがログオンしてセッションを開始するときに、セッション変数に値が入力されます。システム・セッション変数と呼ばれる特定のセッション変数には特別な用途があります。システム・セッション変数USERは認証とともに使用されます。USERシステム・セッション変数の詳細は、「LDAP認証でのUSERセッション変数の定義」を参照してください。システム・セッション変数の詳細は、『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionメタデータ・リポジトリ作成者ガイド』のシステム・セッション変数に関する項を参照してください。

4. 該当する場合は、リポジトリ・ファイルからユーザーを削除します。

5. USERシステム変数をLDAP初期化ブロックに関連付けます。詳細は、「LDAP認証でのUSERセッション変数の定義」、および『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionメタデータ・リポジトリ作成者ガイド』の初期化ブロックへの変数の関連付けに関する項を参照してください。

注意:

セキュアLDAPを使用するときは、キー・ファイル名およびパスワードを設定し、管理ツールでLDAPパラメータの設定をテストして、再びキー・ファイル名およびパスワードを変更した場合には、テストの前に管理ツールを再起動する必要があります。

A.1.1.1 LDAPサーバーの設定

認証方式としてADSIを使用するOracle Business Intelligenceのインスタンスについては、Active Directoryインスタンスを設定するときに、次のオプションを使用する必要があります。

- ログオン先ですべてのコンピュータを選択します。または一部のコンピュータを一覧表示する場合は、ログオン・ワークステーションとしてActive Directoryサーバーを含めます。

- 「ユーザーは次回ログオン時にパスワードの変更が必要」が選択されていないことを確認します。

管理ツールでは、LDAPサーバー・セクションでBIND DNに使用されるCNユーザーは、ldap_bindとldap_searchの両方の認可レベルが必要です。

注意:

BIサーバーは、LDAP認証にクリアテキストのパスワードを使用します。LDAPサーバーがこれを許可するように設定されていることを確認してください。

リポジトリのLDAP認証を設定するには:

1. オフライン・モードかオンライン・モードで、管理ツールでリポジトリを開きます。

2. Identity Managerで「アクション」を選択してから「新規作成」を選択し、「LDAPサーバー」を選択します。

3. 「LDAPサーバー」ダイアログの「一般」タブで、必要なフィールドに値を入力します。次に示すオプションと説明のリストに、LDAPサーバーを設定するのに役立つ情報が記載されています。

- 「名前」。この接続を識別するための名前(My LDAPなど)。

- 「ホスト名」。LDAPサーバーの名前。

- 「ポート番号」。デフォルトのLDAPポートは3060です。

- 「LDAPバージョン」。LDAP 2またはLDAP 3(バージョン)。デフォルトはLDAP 3です。

- 「ベースDN」。ベース識別名(DN)によって、認証検索の始点が識別されます。たとえば、ディレクトリのo=Oracle.comサブツリーの下にあるエントリをすべて検索する場合、o=Oracle.comがベースDNです。

- 「バインドDN」と「バインド・パスワード」。LDAPサーバーにバインドするために必要なオプションのDNおよびそれに関連付けられたユーザー・パスワード。
これらの2つのエントリが空白の場合、匿名バインドが想定されます。セキュリティ上の理由から、すべてのLDAPサーバーで匿名バインドが許可されるわけではありません。

これらのフィールドは、LDAP V3ではオプションですが、LDAP V2では匿名バインドはサポートされていないため、LDAP V2では必須です。

「ADSI」オプションを選択すると、これらのフィールドが必須になります。これらのフィールドを空白にしておくと、パスワードを空白にしておくかどうかを確認する警告メッセージが表示されます。「はい」をクリックすると、匿名バインドが使用されます。

- 「接続のテスト」。LDAPサーバーへの接続をテストしてパラメータを検証するには、このボタンを使用します。

4. 「詳細設定」タブをクリックし、必要な情報を入力します。BIサーバーは、認証キャッシュをメモリーに維持することで、多数のユーザーを認証するためにLDAPを使用する場合にパフォーマンスを向上します。認証キャッシュを無効にすると、数百件のセッションを認証する場合にパフォーマンスが低下することがあります。
次に示すフィールドと説明のリストに、LDAPサーバーを設定するのに役立つ追加情報が記載されています。

- 「接続タイムアウト」。BIサーバーがユーザー認証のためにLDAPサーバーに接続しようとしたときに、指定した間隔が経過した後に接続がタイムアウトします。

- 「ドメイン識別子」(オプション)。一般的に、識別子は、LDAPオブジェクトが担当するドメインを一意に識別する1語です。複数のLDAPオブジェクトを使用するときには、これは特に役に立ちます。異なる2人のユーザーが同じユーザーIDを持っていて、それぞれが異なるLDAPサーバーにいる場合、それらを区別するためにドメイン識別子を指定できます。ユーザーは、次のフォーマットを使用して、BIサーバーにログインします。
domain_id/user_name

ユーザーがドメイン識別子を使用せずにユーザー名を入力すると、利用できるすべてのLDAPサーバーに照らし合せて順に認証されます。同じ名前を持つユーザーが複数ある場合、1つのユーザーだけを認証できます。

- 「ADSI」。(Active Directoryサービス・インタフェース)ディレクトリ・サーバーの一種。「ADSI」オプションを選択するときは、「バインドDN」および「バインド・パスワード」は必須です。

- 「SSL」。SSLを有効にするには、このオプションを選択します。

- 「ユーザー名属性タイプ」。このパラメータは、ユーザーを一意に識別します。多くの場合、これはRDNで使用される属性です(相対識別名)。一般的に、デフォルト値を受け入れます。ほとんどのLDAPサーバーでは、ユーザーIDを使用します。ADSIでは、sAMAccountNameを使用します。

A.1.1.2 LDAP認証でのUSERセッション変数の定義

初期化ブロックを使用してLDAP認証を設定するには、USERというシステム・セッション変数を定義して、LDAPサーバーに関連付けられているLDAP初期化ブロックにそれを関連付けます。ユーザーがBIサーバーにログインすると、ユーザー名とパスワードが認証のためにLDAPサーバーに渡されます。ユーザーの認証に成功したら、LDAPサーバーによって返される情報からユーザーの他のセッション変数も入力できます。

注意:

レガシー方式を使用する外部LDAPサーバーと、Oracle Platform Security Servicesに基づいたLDAPベースのアイデンティティ・ストアの両方にユーザーが存在する場合は、アイデンティティ・ストアのユーザー定義が優先されます。Oracle Platform Security Servicesに対して認証が失敗すると、レガシーLDAP方式のみ試行されます。

この項の情報は、LDAP初期化ブロックが定義されているものと想定しています。

LDAPベースのアイデンティティ・ストアに定義されていないユーザーについては、定義されたシステム変数USERの存在によって外部認証が実行されることが決定されます。USERをLDAP初期化ブロックに関連付けることで、ユーザーがLDAPによって認証されることが決定されます。認証の他の形式を提供するには、外部データベースに関連付けられている初期化ブロックにUSER変数を関連付けます。

LDAP認証用のUSERセッション変数を定義するには:

1. オフライン・モードかオンライン・モードで、管理ツールでリポジトリを開きます。

2. 管理ツールのメニューで「管理」を選択してから「変数」を選択します。

3. 左ペインのツリーで「セッション」→「初期化ブロック」を選択します。

4. 右ペインで右クリックし、「新規初期化ブロック」を選択します。

5. 「セッション変数 - 初期化」ダイアログ・ボックスの「名前」フィールドにAuthenticationと入力します。

6. 「データ・ソースの編集」をクリックします。

7. 「データ・ソース・タイプ」ドロップダウン・リストから「LDAPサーバー」を選択します。

8. リストを参照して適切なLDAPサーバーを選択します。

9. 「OK」をクリックします。

10. 「データ・ターゲットの編集」をクリックします。

11. 「新規」をクリックします。

12. 「名前」フィールドにUSERと入力します。

13. 「OK」をクリックします。

14. USERセッション変数の特別目的についての警告が表示されたら、「はい」をクリックします。

15. ユーザーIDを保持するLDAP属性を「マップ済変数」フィールドに入力します。

16. 「OK」をクリックします。

17. 「認証のために必要」チェック・ボックスを選択します。

18. 「OK」をクリックします。

A.1.1.3 ロギング・レベルの設定

LDAPサーバーによって認証されるユーザーのロギング・レベルを設定するには、システム変数LOGLEVELを使用します。

A.1.2 外部表認証の設定

外部データベース表にユーザーとパスワードのリストを維持し、この表を認証目的に使用することができます。外部データベース表は、ユーザー名とパスワードを含み、Oracle BIプレゼンテーション・サービスユーザーに使用するグループ・メンバーシップや表示名など、他の情報を含めることができます。また、表には、データを問い合せるときに各ユーザーのために使用する特定のデータベース・カタログまたはスキーマの名前を含めることもできます。

注意:

ユーザーが複数のグループに属している場合、セミコロンで区切ってグループ名を同じ列に含める必要があります。

外部表の認証は、管理ツールで変数マネージャを使用して定義するセッション変数を使用します。変数マネージャの詳細は、『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionメタデータ・リポジトリ作成者ガイド』のOracle BIリポジトリでの変数の使用に関する項を参照してください。

ユーザーがログオンしてセッションを開始するときに、セッション変数に値が入力されます。システム変数と呼ばれる特定のセッション変数には、特別の用途があります。変数USERは、外部表の認証とともに使用されるシステム変数です。

外部表の認証を設定するには、USERというシステム変数を定義して、外部データベース表に関連付けられている初期化ブロックに関連付けます。ユーザーがログインすると、ユーザーIDとパスワードは、認証のためにこのデータベース表に問い合せるSQLを使用して認証されます。初期化ブロックは、データベースに接続するために物理レイヤーでデータベース接続を使用します。物理レイヤーの接続には、ログイン情報が含まれています。ユーザーの認証に成功したら、このSQL問合せの結果からユーザーの他のセッション変数を入力できます。

定義されたシステム変数USERの存在によって、外部認証が実行されることが決定されます。外部データベース表の初期化ブロックにUSERを関連付けることによって、この表の情報を使用してユーザーが認証されることが決定されます。認証の他の形式を提供するには、LDAPサーバーまたはXMLソースに関連付けられている初期化ブロックに、USERシステム変数を関連付けます。詳細は、「初期化ブロックの使用によるLDAP認証の設定」を参照してください。

外部表の認証を設定するには:

1. 外部表に関する情報を物理レイヤーにインポートします。

2. 管理ツールで「管理」を選択してから「変数」を選択し、変数マネージャを起動します。

3. 左ペインで「初期化ブロック」を選択します。

4. 右ペインで右クリックし、「新規初期化ブロック」を選択します。

5. 「初期化ブロック」ダイアログ・ボックスでは、初期化ブロックの名前を入力します。

6. 「データ・ソース接続」リストで「データベース」を選択します。

7. 「参照」をクリックして、このブロックが使用する接続プールの名前を検索します。

8. 「初期化文字列」領域で、認証時に発行されるSQL文を入力します。
SQL文の列のデータベースによって返される値は、変数に割り当てられます。変数の順序および列の順序によって、どの列がどの変数に割り当てられるかが決定されます。次の例に示すSQLについて検討します。

SELECT username, grp_name, SalesRep, 2 FROM securitylogons WHERE username = ':USER' and pwd = ':PASSWORD'

このSQLには、WHERE句に2つの絞込み条件が含まれています。

- :USER(コロンに注意)は、ログオン時にユーザーが入力した名前と同じです。

- :PASSWORD(コロンに注意)は、ユーザーが入力したパスワードと同じです。

ユーザー名とパスワードが、指定された表で見つかった値に一致する場合のみ、問合せによってデータが返されます。

BIサーバー外でSQL文をテストし、:USERおよび:PASSWORDに有効な値を代入して、データの行が返されることを確認する必要があります。

9. この問合せによってデータが返されると、ユーザーは認証されて、セッション変数にデータが入力されます。この問合せは4つの列を返すため、4つのセッション変数が入力されます。「変数」タブの「新規」をクリックして、これらの変数(USER、GROUP、DISPLAYNAME、およびLOGLEVEL)を作成します。
変数が目的の順序になっていない場合は、並べ替える変数をクリックし、「上へ」ボタンと「下へ」ボタンを使用して移動します。

10. 「OK」をクリックして初期化ブロックを保存します。

A.1.3 Oracle BIデリバーおよび外部初期化ブロックの認証について

Oracle BIスケジューラ Serverは、パスワードにアクセスしたりパスワードを格納しないで、ユーザーのためにデリバー・ジョブを実行します。Oracle BIスケジューラは、偽装と呼ばれるプロセスを使用して、1つのユーザー名とパスワードを使用し、このユーザー名とパスワードには、他のユーザーの代理で操作できるOracle Business Intelligenceの管理権限が付与されています。Oracle BIスケジューラは、Oracle Business Intelligenceの管理者名とパスワードを使用してOracle BIプレゼンテーション・サービスにログオンすることによって、エージェントを起動します。

デリバーを機能させるには、すべてのデータベース認証を1つの接続プールで実行する必要があり、その接続プールは、USERシステム・セッション変数の初期化ブロックで選択できます。一般的に、これを認証初期化ブロックと呼びます。偽装を使用するときは、この初期化ブロックはスキップされます。他のすべての初期化ブロックは、データベース認証を使用しない接続プールを使用する必要があります。

注意:

認証初期化ブロックは、:USERと:PASSWORDが物理データベースに渡される接続プールの使用を受け入れられる唯一の初期化ブロックです。

他の初期化ブロックについては、SQL文に:USERと:PASSWORDを使用できます。しかし、Oracle BIスケジューラ・サーバーはユーザー・パスワードを格納しないため、次の例に示すように、WHERE句を構築する必要があります。

SELECT username, groupname, dbname, schemaname FROM users
WHERE username=':USER'
NQS_PASSWORD_CLAUSE(and pwd=':PASSWORD')NQS_PASSWORD_CLAUSE

偽装を使用する場合、括弧内の情報はすべて実行時にSQL文から抽出されます。

詳細は、『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionメタデータ・リポジトリ作成者ガイド』に記述されているOracle BIデリバーの例を参照してください。

A.1.4 認証の順序

BIサーバーは、初期化ブロックに定義されている依存関係ルールで指定された希望する順序で、初期化ブロックを使用してセッション変数に値を入力します。サーバーがセッション変数USERを見つけた場合、USER変数が関連付けられている初期化ブロックの構成に基づいて、LDAPサーバーまたは外部データベース表に照らし合せて認証を実行します。

Oracle WebLogic Server管理コンソールで構成されたアイデンティティ・ストアに対する認証が最初に行われ、それが失敗したら、初期化ブロック認証が行われます。

A.1.5 カスタム認証システム・プラグインを使用する認証

初期化ブロックを使用して、カスタマイズされた認証モジュールを作成できます。認証システムは、顧客または開発者が記述したダイナミック・リンク・ライブラリ(DLL)、またはUNIXの共有オブジェクトであり、Oracle BI認証システムのAPI仕様に準拠しており、BIサーバーによって使用して、実行時に認証および他のタスクを実行できます。動的にロード可能な認証モジュールは、キャッシュ・レイヤーを持つBIサーバー・モジュールであり、実行時に認証および関連するタスクを実行するために認証システムを使用します。

Oracle Technology Network (OTN)からダウンロードできるBI EEサンプル・アプリケーションにサンプルのカスタム認証コードがあります。

認証オブジェクト(認証システム・プラグイン)を作成し、認証モジュールの1組のパラメータを指定した後(設定ファイル・パス、キャッシュ・エントリの数、キャッシュの有効期限など)、認証オブジェクトを初期化ブロックに関連付ける必要があります。USER変数(必須)および他の変数を初期化ブロックに関連付けることができます。

ユーザーがログインすると、認証に成功したら初期化ブロックで指定したように変数のリストに値が入力されます。

カスタム認証は、カスタムC認証システム・プラグインを示すリポジトリのオブジェクトです。このオブジェクトは認証初期化ブロックとともに使用され、BIサーバー・コンポーネントがカスタム認証システムに照らし合せてユーザーを認証できるようにします。認証で推奨される方式はOracle WebLogic Serverの組込みLDAPサーバーを使用する方式です。しかし、カスタム認証システムを使用し続けることもできます。

カスタム認証システムを追加するには:

1. 管理ツールで「管理」を選択してから「アイデンティティ」を選択します。ナビゲーション・ツリーで「カスタム認証システム」を選択します。次のオプションから選択します。

- 新しいカスタム認証システムを作成するには: 右ペインで右クリックし、「新規カスタム認証システム」を選択します。

- カスタム認証システムを編集する場合: 名前をダブルクリックします。

2. 「カスタム認証システム」ダイアログで、必要なフィールドに値を入力します。

- 認証システム・プラグイン: このカスタム認証システムのプラグインDLLのパスと名前。

- 構成パラメータ: 構成のために明示的に公開されたこのカスタム認証システムのパラメータ。

- 暗号化パラメータ: パスワードなど、暗号化されたこのカスタム認証システムのパラメータ。

- キャッシュ永続時間: ログオンしたユーザーの認証キャッシュ・エントリが、このカスタム認証システムに対してリフレッシュされる間隔。

- キャッシュ・エントリ数: このカスタム認証システムの認証キャッシュの最大エントリ数(Oracle BIサーバーの起動時に事前割当てされます)。ユーザー数がこの制限を超えると、キャッシュ・エントリはLRUアルゴリズムを使用して置換されます。この値が0の場合は、認証キャッシュは無効になります。

3. 「OK」をクリックします。

A.1.6 セッション変数の管理

システム・セッション変数は、初期化ブロックから値を取得し、LDAPサーバーやデータベース表など、外部ソースに照らし合せてOracle Business Intelligenceユーザーを認証するために使用されます。アクティブなBIサーバーのセッションはすべて、セッション変数を生成し、初期化します。各セッション変数インスタンスは、異なる値へと初期化できます。セッション変数および初期化ブロックがOracle Business Intelligenceによってどのように使用されるかの詳細は、『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionメタデータ・リポジトリ作成者ガイド』のOracle BIリポジトリでの変数の使用に関する項を参照してください。

A.1.7 サーバー・セッションの管理

管理ツール・セッション・マネージャは、アクティビティを監視するためにオンライン・モードで使用されます。セッション・マネージャには、セッションにログインしているすべてのユーザー、各ユーザーのすべての現在の問合せリクエスト、および変数および選択されたセッションに対するそれらの値が示されます。さらに、管理ユーザーは任意のユーザーを切断し、セッション・マネージャを使って任意の問合せリクエストを終了できます。

セッション・マネージャのデータがどれくらい頻繁にリフレッシュされるかは、システム上のアクティビティの数によって変わります。任意の時点で表示をリフレッシュするには、「リフレッシュ」をクリックします。

A.1.7.1 セッション・マネージャの使用

セッション・マネージャには、上部ペインと下部ペインがあります。

- 上部ペインである「セッション」ペインには、BIサーバーに現在ログインしているユーザーが表示されます。更新速度を制御するには、「更新速度」リストから「標準」、「高」、または「低」を選択します。表示がリフレッシュされないようにするには、「一時停止」を選択します。

- 下部ペインには、2つのタブがあります。

- 「リクエスト」タブには、「セッション」ペインで選択したユーザーのアクティブな問合せリクエストが表示されます。

- 「変数」タブには、変数、および選択したセッションに対するそれらの値が表示されます。列ヘッダーをクリックすると、データをソートできます。

表A-1および表A-2に、「セッション・マネージャ」ダイアログの列を示しています。

表A-1 「セッション・マネージャ」ダイアログのフィールド

列名

説明

クライアント・タイプ

サーバーに接続されているクライアントのタイプ。

最終アクティブ時刻

セッションの最後のアクティビティのタイムスタンプ。

ログオン時間

セッションがBIサーバーに最初に接続した時刻を示すタイムスタンプ。

リポジトリ

セッションが接続されているリポジトリの論理名。

セッションID

セッションが開始されたときに、BIサーバーが各セッションを割り当てる一意の内部識別子。

ユーザー

接続されているユーザーの名前。

表A-2 「セッション・マネージャ」ダイアログにある「リクエスト」タブの一部のフィールド

列名

説明

最終アクティブ時刻

問合せに対する最後のアクティビティのタイムスタンプ。

リクエストID

問合せが開始されたときに、BIサーバーが各問合せを割り当てる一意の内部識別子。

セッションID

セッションが開始されたときに、BIサーバーが各セッションを割り当てる一意の内部識別子。

開始時間

個々の問合せリクエストの時間。

セッションの変数を表示するには:

1. 管理ツールで、オンライン・モードでリポジトリを開き、「管理」を選択してから「セッション」を選択します。

2. セッションを選択し、「変数」タブをクリックします。
変数の詳細は、『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionメタデータ・リポジトリ作成者ガイド』のOracle BIリポジトリでの変数の使用に関する項を参照してください。

3. ビューをリフレッシュするには、「リフレッシュ」をクリックします。

4. セッション・マネージャを閉じるには、「閉じる」をクリックします。

セッションからユーザーを切断するには:

1. 管理ツールで、オンライン・モードでリポジトリを開き、「管理」を選択してから「セッション」を選択します。

2. セッション・マネージャの上部ペインでユーザーを選択します。

3. 「切断」をクリックします。
ユーザー・セッションは、セッションが管理ユーザーによって終了されたことを示すメッセージを受け取ります。現在実行されている問合せはただちに終了され、基礎となるデータベースへの未処理の問合せも取り消されます。

4. セッション・マネージャを閉じるには、「閉じる」をクリックします。

アクティブな問合せを終了するには:

1. 管理ツールで、オンライン・モードでリポジトリを開き、「管理」を選択してから「セッション」を選択します。

2. セッション・マネージャの上部ペインで、問合せを開始したユーザー・セッションを選択します。
ユーザーを強調表示すると、そのユーザーのアクティブな問合せリクエストが下部ペインに表示されます。

3. 終了するリクエストを選択します。

4. 「リクエストの強制終了」をクリックして選択したリクエストを終了します。
ユーザーは、問合せが管理ユーザーによって終了されたことを示すメッセージを受け取ります。問合せはただちに終了し、基礎となるデータベースへの未処理の問合せは取り消されます。

他のリクエストを終了するには、このプロセスを繰り返します。

5. セッション・マネージャを閉じるには、「閉じる」をクリックします。

A.2 代替認可オプション

このリリースでは、下位互換性を維持するために、カタログ・グループを使用してカタログ・オブジェクト権限を管理する機能、および認証が初期化ブロックでも行われる場合に初期化ブロックを使用してユーザーにアプリケーション・ロールのメンバーシップを設定する機能がサポートされています。

注意:

認証がOracle Platform Security Servicesで行われる場合、初期化ブロックを使用してアプリケーション・ロールのメンバーシップを設定することはできません。

この項には次のトピックが含まれます:

- 第A.2.1項「プレゼンテーション・サービスのセキュリティに影響する変更」

- 第A.2.2項「カタログ・グループを使用するカタログ権限の管理」

- 第A.2.3項「初期化ブロックの使用による認可の設定」

A.2.1 プレゼンテーション・サービスのセキュリティに影響する変更

以前のリリースからアップグレードした場合のベスト・プラクティスは、ポリシー・ストアに維持されているアプリケーション・ロールを使用して、カタログの権限およびカタログ・オブジェクトの管理を開始することです。

Oracle Business Intelligenceは、Oracle Fusion Middlewareセキュリティ・モデルを使用し、そのリソースはロールベースのシステムによって保護されます。次のセキュリティ・モデルの変更は、Oracle BIプレゼンテーション・カタログの権限に影響するため、これはユーザーのアップグレードにおいて重要です。

- 現在、認可はファイングレインJAAS権限に基づいています。ユーザーは、対応するアプリケーション・ロールのメンバーシップによって権限が付与されます。

- ユーザーとグループはアイデンティティ・ストアに維持され、BIサーバーには維持されなくなります。以前のリリースとは違い、BIサーバー・グループのメンバーは、同じ名前を持つカタログ・グループのメンバーに自動的にはなりません。

- 権限はOracle BIプレゼンテーション・カタログに格納され続け、ポリシー・ストアの管理に使用する管理インタフェースからはアクセスできません。

- Everyoneカタログ・グループは利用できなくなり、AuthenticatedUserアプリケーション・ロールに置き換えられました。カタログ・グループEveryoneのメンバーは、アップグレード後に自動的にAuthenticatedUserロールのメンバーになります。

- カタログ・グループは、パスワード保護されなくなります。アップグレード時に移行されたすべてのカタログ・グループは、パスワードがなくなります。

A.2.2 カタログ・グループを使用するカタログ権限の管理

既存のカタログ・グループはアップグレード時に移行され、使用できるようになります。新しいカタログ・グループの作成を続けることができます。カタログ・グループを作成、編集、または削除する方法の詳細は、第D.2.2項のカタログ・グループの使用に関する項を参照してください。

カタログ・グループに他のカタログ・グループ、ユーザーまたはアプリケーション・ロールを割り当てることにより、これらの権限を付与できます。

注意:

アプリケーション・ロールのメンバーになるためにカタログ・グループを割り当てると、複雑なグループ継承とメンテナンス状況が生じるため、ベスト・プラクティスとは考えられません。

カタログ・グループを使用して権限を付与するには:

1. プレゼンテーション・サービスの「ホーム」ページで「管理」を選択します。

2. 「権限の管理」リンクをクリックして「権限の管理」ページを表示します。

3. 「権限の管理」ページで権限のリンクをクリックします。

4. カタログ・グループに権限を割り当てるには:

- 「ユーザー/ロールの追加」をクリックします。

- リストで「カタログ・グループ」を選択して「検索」をクリックします。

- 結果リストでカタログ・グループを選択します。

- シャトル・コントロールを使用して、カタログ・グループを「選択済メンバー」に移動します。

5. 「OK」をクリックします。

6. 「権限」ダイアログで「権限付与」または「拒否」を選択して、カタログ・グループの権限を設定します。
プレゼンテーション・サービスの権限を明示的に拒否することは、グループまたはアプリケーション・ロール階層の結果として付与または継承されたユーザー・アクセス権より優先されます。

7. 「OK」をクリックします。

8. 必要に応じて権限が付与または拒否されるまで、ステップ3から7を繰り返します。

A.2.3 初期化ブロックの使用による認可の設定

初期化ブロックを使用してユーザーにアプリケーション・ロールのメンバーシップを設定する場合、次の条件が適用されます。

- ROLESまたはGROUPセッション変数を設定する初期化ブロックは、WebLogicセキュリティ・レルムで構成された認証プロバイダによる認証にユーザーが失敗した場合のみ機能します。かわりにユーザーは、初期化ブロックで認証を行います。

- 初期化ブロックは、ROLESまたはGROUPのいずれかの値を設定するように設定する必要があります。BIサーバーによって両方の変数の値は同じになります。

- 初期化ブロックを使用してROLESまたはGROUPセッション変数を設定する場合は、Fusion Middleware Controlを使用して構成した1つ以上のアプリケーション・ロール(BIConsumerなど)に名前で一致するように、その変数の値を設定する必要があります。認証時、これらのアプリケーション・ロールと、そのロールに関連付けられている権限がユーザーに割り当てられます。

- アプリケーション・ロールと、新規アプリケーション・ロールの追加方法の詳細は、第2.4項「Fusion Middleware Controlの使用によるアプリケーション・ロールおよびアプリケーション・ポリシーの管理」を参照してください。

- 初期化ブロックを使用してROLESまたはGROUPセッション変数を設定する場合、前述のロジックを使用して、グループをアプリケーション・ロールに割り当てる処理が実行されます。この場合、グループをポリシー・ストアのアプリケーション・ロールに割り当てる処理は使用されません。

- アプリケーション・ロールに一致しないROLESまたはGROUP変数の値は、Oracle BIプレゼンテーション・カタログの利用可能なカタログ・グループに対して名前で照合されます。これらのカタログ・グループと、そのグループに関連付けられている権限がユーザーに割り当てられます。

- アプリケーション・ロールやカタログ・グループに一致しないROLESまたはGROUPの値は無視されます。

データベース認可用にROLESセッション変数を定義するには:

1. オフライン・モードかオンライン・モードで、管理ツールでリポジトリを開きます。

2. 管理ツールのメニューで「管理」を選択してから「変数」を選択します。

3. 左ペインのツリーで「セッション」→「初期化ブロック」を選択します。

4. 右ペインで右クリックし、「新規初期化ブロック」を選択します。

5. 「セッション変数 - 初期化」ダイアログ・ボックスの「名前」フィールドにAuthorizationと入力します。

6. 「データ・ソースの編集」をクリックします。

7. 「データ・ソース・タイプ」ドロップダウン・リストで「データベース」を選択します。

8. SQLを入力します。
グループのリストまたは単一のグループ(行単位の初期化が使用されない場合)を返す任意のSQLを入力できます。

詳細は、『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionメタデータ・リポジトリ作成者ガイド』のOracle BIリポジトリでの変数の使用に関する項を参照してください。

9. 「参照」をクリックして、接続プールを選択します。

10. 「選択」をクリックします。

11. 「OK」をクリックします。

12. 「OK」をクリックします。

13. 「データ・ターゲットの編集」をクリックします。

14. 「新規」をクリックします。

15. 「名前」フィールドにROLESと入力します。

16. 「OK」をクリックします。

17. ROLESセッション変数の特別目的についての警告が表示されたら、「はい」をクリックします。

18. 「OK」をクリックします。

19. 「認証のために必要」チェック・ボックスを選択解除します。

20. 「OK」をクリックします。

B デフォルト・セキュリティ構成の理解

システム・リソースへのアクセスを制御することは、ユーザーにログイン時に認証を求め(認証)、許可されたリソースだけにユーザーを制限することによって達成されます(認可)。Oracle Business Intelligenceのデフォルト・セキュリティ構成はインストール時に自動的に構成され、その後は利用できるようになります。デフォルト構成には、ユーザーID、資格証明および権限付与を管理するための事前に構成されたセキュリティ・プロバイダが含まれています。

この章には次の項が含まれます:

- 第B.1項「Oracle Business Intelligenceのセキュリティについて」

- 第B.2項「セキュリティ・フレームワークについて」

- 第B.3項「主なセキュリティ要素」

- 第B.4項「デフォルト・セキュリティ構成」

- 第B.5項「インストール後の一般的なセキュリティ・タスク」

- 第B.6項「アップグレード後のデフォルト・セキュリティ構成について」

注意:

特に記載のないかぎり、この章で説明する権限は、Oracle Business Intelligence Presentation Servicesの権限など、ポリシー・ストア・プロバイダで保持される権限のことを指します。カタログの権限は、Oracle BI Presentation Catalogで保持されているため別個のものです。Presentation Servicesの権限の詳細は、第D.2.3項「Presentation Servicesの権限の管理」を参照してください。

B.1 Oracle Business Intelligenceのセキュリティについて

Oracle Business Intelligenceのセキュリティは、大きく2つの領域に分類できます。

- システム・アクセス・セキュリティ: Oracle Business Intelligenceを構成するコンポーネントと機能へのアクセスの制御。

- データ・アクセス・セキュリティ: Oracle Business Intelligenceで使用するビジネス・ソース・データおよびメタデータへのアクセスの制御。

システム・アクセス・セキュリティについては、このガイドで説明します。トピックには、システムへのアクセスを許可されたユーザーに制限し、権限付与に基づいてソフトウェア・リソースを制御して、コンポーネント間で安全に通信する方法が含まれます。

データ・アクセス・セキュリティについては、『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionメタデータ・リポジトリ作成者ガイド』を参照してください。

B.2 セキュリティ・フレームワークについて

Oracle Fusion Middlewareセキュリティ・モデルは、Javaセキュリティ・モデルを組み込んだ、Oracle Fusion Middlewareプラットフォームに基づいています。Javaモデルは、ロールベースの宣言モデルで、コンテナ管理のセキュリティを採用しているため、リソースは、ユーザーに割り当てられているロールによって保護されます。しかし、Oracle Fusion Middlewareセキュリティ・モデルを使用するときは、Javaベースのアーキテクチャに関する高度な知識は不要です。このセキュリティ・モデルに基づいているため、Oracle Business Intelligenceは、企業全体で均一なセキュリティとアイデンティティ管理を提供できます。

Oracle Business Intelligenceは、インストール時にOracle WebLogic Serverドメインにインストールされます。これは、単位として管理されるリソースの論理的に関連したグループです。簡易インストール・タイプのときには、bifoundation_domainという名前のOracle WebLogic Serverドメインが作成され、このドメインにOracle Business Intelligenceがインストールされます。この名前は、実行するインストール・タイプによって変わる可能性があります。各ドメインのOracle WebLogic Serverの1つのインスタンスは、管理サーバーとして構成されます。管理サーバーは、Oracle WebLogic Serverドメインを管理する中心点となります。管理サーバーは、管理コンソールをホストします。これは、管理サーバーへのネットワーク・アクセス権を持つ、サポートされているWebブラウザからアクセスできるWebアプリケーションです。Oracle Business Intelligenceでは、それがインストールされているOracle WebLogic Serverドメインに構成されているアクティブなセキュリティ・レルムを使用します。詳細は、第B.2.2項「Oracle WebLogic Serverドメイン」を参照してください。

Oracle Fusion Middlewareプラットフォームおよび一般的なセキュリティ・フレームワークの詳細は、『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』を参照してください。Oracle WebLogic Serverドメインおよびセキュリティ・レルムの管理の詳細は、『Oracle Fusion Middleware Oracle WebLogic Serverのセキュリティの理解』および『Oracle Fusion Middleware Oracle WebLogic Serverの保護』を参照してください。

B.2.1 Oracle Platform Security Services

Oracle Platform Security Services (OPSS)は、Oracle Fusion Middlewareセキュリティ・フレームワークが構築されている基礎となるプラットフォームです。Oracle Platform Security Servicesは規格ベースであり、ロールベースのアクセス制御(RBAC)、Java Enterprise Edition (Java EE)およびJava Authorization and Authentication Service (JAAS)に準拠しています。Oracle Platform Security Servicesを使用すると、共有セキュリティ・フレームワークによって、会社全体でセキュリティとIDを均一に管理できます。

Oracle Platform Security Servicesの詳細は、『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』を参照してください。

注意:

今後のドキュメントで、Oracle Platform Security Services (OPSS)の記述はOracle Entitlements Server Basic (OES Basic)の記述に置き換えられます。これはお客様側の動作への視覚的な変更を伴うものではありません。詳細は、第3.9項「ポリシー・ストアおよび資格証明ストアとしてのOracle Internet Directoryの構成」を参照してください。

B.2.2 Oracle WebLogic Serverドメイン

Oracle WebLogic Server管理 ドメイン は、論理的に関連付けられたJavaコンポーネントのグループです。ドメインには、管理サーバーと呼ばれる特別なWebLogic Serverインスタンスが含まれます。これは、ドメイン内のすべてのリソースを構成、管理する中心ポイントです。通常、ドメインは、管理対象サーバーという追加のWebLogic Serverインスタンスを含めるように構成します。Webアプリケーション、EJB、Webサービスおよびその他のリソースなどのJavaコンポーネントは管理対象サーバーにデプロイし、管理サーバーは構成と管理を行う目的でのみ使用します。

Oracle WebLogic Server管理コンソールおよびOracle Enterprise Manager Fusion Middleware Controlは、管理サーバーで実行されます。Oracle WebLogic Server管理コンソールは、Webベースの管理コンソールで、管理サーバー管理対象サーバーなど、Oracle WebLogic Serverドメインでのリソースの管理に使用します。Fusion Middleware Controlは、Oracle Business Intelligenceを構成するコンポーネントを含む、Oracle Fusion Middlewareの管理に使用するWebベースの管理コンソールです。Oracle Business Intelligenceの個々のコンポーネントの詳細は、『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』を参照してください。

Oracle Business Intelligence認証はOracle WebLogic Server認証プロバイダによって処理されます。認証プロバイダは、次の機能を実行します。

- ユーザーとシステム・プロセスのアイデンティティを確立します。

- アイデンティティ情報を送信します。

インストール時に、Oracle Business Intelligenceは、ユーザーとグループのためのデフォルトの認証プロバイダおよびリポジトリとして、Oracle WebLogic Serverに組み込まれたディレクトリ・サーバーを使用するように構成されます。必要に応じて代替認証プロバイダを使用し、Oracle WebLogic管理コンソールで管理できます。詳細は、「システム要件と動作要件」を参照してください。

B.3 主なセキュリティ要素

Oracle Fusion Middlewareセキュリティ・プラットフォームは、次の主な要素に応じて、会社全体でセキュリティとIDの均一な管理を提供します。Oracle Fusion Middlewareセキュリティ・プラットフォームの詳細は、『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』を参照してください。

Oracle Business Intelligenceは、これらのセキュリティ・プラットフォーム要素を次のように使用します。

アプリケーション・ポリシー

アプリケーション・ポリシーの詳細は、第1.9項「用語」を参照してください。

アプリケーション・ストライプは、ポリシー・ストアにポリシーのサブセットを定義します。Oracle Business Intelligenceアプリケーション・ストライプは、obiという名前です。

アプリケーション・ロール

アプリケーション・ロールの詳細は、第1.4.1項「アプリケーション・ロールについて」を参照してください。たとえば、セールス・アナリストというアプリケーション・ロールを持っていると、会社のセールス・パイプラインに関連するレポートを表示、編集および作成するアクセス権をユーザーに付与できます。デフォルトのセキュリティ構成では、事前に構成されたロールが4つ用意されており、それらのロールは、Oracle Business Intelligenceを使用するときに実行される一般的な種類の作業に対応する権限を付与します。また、アプリケーション・ロールはコンテナでもあり、コンテナのメンバーに対して権限およびアクセス権を付与するために使用されます。メンバーがアプリケーション・ロールに割り当てられていると、そのアプリケーション・ロールがコンテナとなって、コンテナのメンバーにアクセス権を伝達するために使用されます。例:

- Oracle Business Intelligence権限
これらの権限付与は、アプリケーション・ポリシーで定義されます。アプリケーション・ロールがポリシーに割り当てられると、その権限は、ポリシーとロールの関係を通じてアプリケーション・ロールに関連付けられます。ユーザーのグループがそのアプリケーション・ロールに割り当てられている場合は、対応する権限が順にすべてのメンバーに等しく付与されます。複数のユーザーやグループが同じアプリケーション・ロールのメンバーになることがあります。

- データ・アクセス権
アプリケーション・ロールは、リポジトリ・ファイル内のデータを表示および変更するアクセス権を制御するために使用できます。データ・フィルタは、ビジネス・モデルおよびマッピング・レイヤーとプレゼンテーション・レイヤーのオブジェクト・レベル権限を制御するために、アプリケーション・ロールに適用できます。アプリケーション・ロールの使用によるデータ・アクセス・セキュリティの適用およびリポジトリ・オブジェクトの制御の詳細は、『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionメタデータ・リポジトリ作成者ガイド』を参照してください。

- プレゼンテーション・サービスのオブジェクトレベルのアクセス
アプリケーション・ロールは、Oracle BIプレゼンテーション・サービスにおけるレポートなどのオブジェクトへのアクセス権を付与するために使用できます。プレゼンテーション・サービスのアクセスを制御するためのアプリケーション・ロールの使用の詳細は、『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』を参照してください。

認証プロバイダ

認証プロバイダの詳細は、第1.3項「認証について」を参照してください。

B.4 デフォルト・セキュリティ構成

開発環境またはテスト環境で運用している場合は、事前に構成されているデフォルトのセキュリティ構成を使用し、ビジネスに特有のユーザー定義と資格証明を追加し、要件が満たされるようにデフォルトのアプリケーション・ロールと権限付与をカスタマイズするのが便利なことがあります。認証、ポリシー、および資格証明プロバイダが完全に構成され、ビジネスに特有のデータを入力した後に、認証と認可のときにOracle Business Intelligenceコンポーネントに必要なすべてのユーザー、ポリシー、および資格証明情報が提供されます。

デフォルトのセキュリティ構成では、システムとデータ・リソースへの安全かつ制御されたアクセスを保証するために統合された3種類のセキュリティ・プロバイダが提供されます。これらのセキュリティ・プロバイダは、簡易またはエンタープライズ・インストール・タイプのときに次のように構成されます。

- 認証プロバイダはDefaultAuthenticatorです。これは、Oracle WebLogic Serverの組込みディレクトリ・サーバー(アイデンティティ・ストア)に照合して認証されます。ディレクトリ・サーバーは、Oracle Business Intelligenceによって提供されるデフォルトのユーザーとグループ、および組み込まれたディレクトリ・サーバーに必要なユーザー・グループを使って事前に構成されます。デフォルトのアイデンティティ・ストアは、Oracle WebLogic Server管理コンソールを使用して管理されます。

- ポリシー・ストア・プロバイダはsystem-jazn-data.xmlファイルです。これには、デフォルトのアプリケーション・ロール定義、対応するOracle Business Intelligence権限付与、およびデフォルトのグループとアプリケーション・ロールの間のマッピング定義が含まれています。アプリケーション・ロールにグループを割り当てると、対応する権限がグループのメンバーに伝達されます。デフォルトのポリシー・ストア・プロバイダは、Oracle Enterprise Manager Fusion Middleware Controlを使用して管理されます。

- 資格証明ストア・プロバイダはcwallet.ssoファイルです。これには、提供またはシステム生成されたパスワードおよび他のセキュリティ関連の資格証明が含まれています。デフォルトの資格証明ストアはFusion Middleware Controlを使用して管理されます。

表B-1に、3種類のデフォルトのセキュリティ・プロバイダおよびインストール後の初期状態を要約しています。

表B-1 デフォルトのセキュリティ・プロバイダ

セキュリティ・プロバイダ・タイプ

目的

デフォルトのプロバイダ

オプション

認証プロバイダ

認証の制御に使用。

- DefaultAuthenticatior。Oracle WebLogic Serverに組み込まれたディレクトリ・サーバー(アイデンティティ・ストア)に格納されているユーザーとグループに照らし合せて認証します。

- Oracle WebLogic Serverに組み込まれたディレクトリ・サーバーは、Oracle WebLogic Server管理コンソールで管理されます。

Oracle Business Intelligenceは、異なる認証プロバイダとディレクトリ・サーバーを使用するように再構成できます。詳細は、「システム要件と動作要件」を参照してください。

ポリシー・ストア・プロバイダ

- 認可の制御に使用。

- アプリケーション・ロール、アプリケーション・ポリシー、およびアプリケーション・ロールに割り当てられたメンバーの定義を含みます。

- system.jazn-data.xmlファイル。

- Fusion Middleware Controlで管理。

Oracle Business Intelligenceは、Oracle Internet Directoryを使用するように構成できます。

資格証明ストア・プロバイダ

システム・パスワードおよび他のセキュリティ関連の資格証明を保持する信頼できるストア。ここで保存されたデータは、外部システムへの接続、リポジトリのオープン、またはSSLに使用されます。

- cwallet.sso。

- ファイルは、Oracle Business Intelligenceインストールのすべての装置で自動的にレプリケートされます。

- Fusion Middleware Controlで管理。

Oracle Business Intelligenceは、Oracle Internet Directoryを使用するように構成できます。

図B-1は、Oracle Business Intelligenceと認証およびポリシー・ストアのプロバイダの関係を示しています。

図B-1 デフォルトのセキュリティ・プロバイダとの関係

「図B-1 デフォルトのセキュリティ・プロバイダとの関係」の説明

B.4.1 デフォルトのポリシー・ストア・プロバイダ

ポリシー・ストア・プロバイダはOracle Business Intelligenceアプリケーション固有のポリシー、アプリケーション・ロール、権限付与、およびインストール時に構成されたメンバーシップのマッピングが含まれています。ポリシー・ストアは、ファイルベースでもLDAPベースでもかまいませんが、デフォルトのインストールではXMLファイルのポリシー・ストアが提供されます。

カタログの権限は、ポリシー・ストア・プロバイダには保持されません。

B.4.1.1 デフォルトの権限

Oracle Business Intelligenceの権限はすべて提供されており、追加の権限を作成することはできません。デフォルトの構成では、管理者、作成者、コンシューマという、Oracle Business Intelligenceの共通のユーザー・タイプのアクセス要件に従って、これらの権限をグループ化するために、アプリケーション・ポリシーとアプリケーション・ロールが事前に構成されています。ただし、必要に応じて、これらのデフォルト権限付与はFusion Middleware Controlを使用して変更できます。詳細は、第3.9項「ポリシー・ストアおよび資格証明ストアとしてのOracle Internet Directoryの構成」を参照してください。

表B-2および表B-3に、obiアプリケーション・ストライプに含まれている利用可能な権限およびリソース・タイプを記載しています。

表B-2 デフォルトの権限

権限名

説明

oracle.bi.publisher.administerServer

管理リンクが管理ページにアクセスできるようにして、システム設定を設定する権限を与えます。

oracle.bi.publisher.developDataModel

データ・モデルを作成または編集する権限を付与します。

oracle.bi.publisher.developReport

レポート、スタイル・テンプレート、およびサブ・テンプレートを作成または編集する権限を付与します。また、この権限によってBI PublisherサーバーにTemplate Builderから接続できるようになります。

oracle.bi.publisher.runReportOnline

レポートを開き(実行し)、生成したドキュメントをレポート・ビューアに表示する権限を付与します。

oracle.bi.publisher.scheduleReport

ジョブを作成または編集したり、ジョブを管理および参照する権限を付与したりします。

oracle.bi.publisher.accessReportOutput

ジョブ履歴と出力を参照し管理する権限を付与します。

oracle.bi.publisher.accessExcelReportAnalyzer

Analyzer for Excelをダウンロードしたり、Analyzer for Excelを使用してレポートからExcelにデータをダウンロードしたりする権限を付与します。ユーザーがAnalyzer for Excelテンプレートをレポート定義にアップロードできるようにするには、oracle.bi.publisher.developReport権限も付与する必要があります。

oracle.bi.publisher.accessOnlineReportAnalyzer

Analyzerを起動し、データを操作する権限を付与します。Analyzerテンプレートをレポート定義に保存するには、oracle.bi.publisher.developReport権限も付与する必要があります。

oracle.bi.server.impersonateUsers

エンド・ユーザーの代理として機能する必要がある内部コンポーネントで使用されます。

oracle.bi.server.manageRepositories

管理ツールまたはOracle BIメタデータWebサービスを使用して、リポジトリ・ファイルを開き、表示し、編集する権限を付与します。

oracle.bi.server.queryUserPopulation

内部使用のみ。

oracle.bi.scheduler.manageJobs

スケジュールされた配信ジョブを管理するためにジョブ・マネージャを使用する権限を付与します。

EPM_Calc_Manager_Designer

EPM Calc Manager Designerに対する権限を付与します。

EPM_Calc_Manager_Administrator

EPM Calc Manager Administratorに対する権限を付与します。

EPM_Essbase_Filter

EPM Essbase Filterに対する権限を付与します。

EPM_Essbase_Administrator

EPM Essbase Administratorに対する権限を付与します。

oracle.epm.financialreporting.accessReporting

EPM Report Accessに対する権限を付与します。

oracle.epm.financialreporting.administerReporting

EPM Report Administrationに対する権限を付与します。

oracle.epm.financialreporting.editBatch

EPM Batch Editに対する権限を付与します。

oracle.epm.financialreporting.editBook

EPM Book Editに対する権限を付与します。

oracle.epm.financialreporting.editReport

EPM Report Editに対する権限を付与します。

oracle.epm.financialreporting.scheduleBatch

EPM Batch Schedulingに対する権限を付与します。

Oracle RTDは、Javaクラスのコンテキストに定義されたリソースを使用して認可を制御します。oracle.security.jps.ResourcePermissionというJavaクラスは、アプリケーションまたはシステム・リソースを保護する権限付与内の権限クラスとして使用できます。Oracle RTDは、このクラスを使用して、次のタイプのリソースへのアクセスを制御します。

- インライン・サービス

- Decision Centerのパースペクティブ

- バッチ・ジョブ
Real-Time Decision (RTD)リソースの詳細は、Oracle Fusion Middleware Oracle Real-Time Decision管理者ガイドのOracle Real-Time Decisionのセキュリティに関する項を参照してください。

表B-3に、Oracle RTDのリソース・タイプを一覧表示します。

表B-3 Oracle RTDのリソース・タイプとアクション

リソース・タイプ

アプリケーション権限に格納されるリソース・タイプ名

アクション[:修飾子]

コメント

インライン・サービス

rtd_ils

choice_editor

指定されたInline ServiceのExternalChoice Webサービスの任意のメソッドを実行できます。

インライン・サービス

rtd_ils

decision_service:normal

指定されたインライン・サービスの任意の統合点(アドバイザとインフォーマント)を実行できます。

アクション修飾子normalは、統合点リクエストをサーバーで実行できるようにします。

インライン・サービス

rtd_ils

decision_service:stress

指定されたインライン・サービスの任意の統合点(アドバイザとインフォーマント)を実行できます。

アクション修飾子のstressにより、LoadGenが統合点コールを発行できます。サーバーによって受け入れられるには、ユーザーはnormalアクションも必要です。

インライン・サービス

rtd_ils

open_service:read

表示のために指定されたインライン・サービスを開くためにDecision Centerの使用を認可します。

外部ルール・エディタはインライン・サービスのコンテンツを更新する必要がないため、外部ルール・エディタが指定されたインライン・サービスにアクセスすることを認可します。

インライン・サービス

rtd_ils

open_service:write

編集のために指定されたインライン・サービスを開くためにDecision Centerの使用を認可します。

インライン・サービス

rtd_ils

deploy_service

Decision Studioの名前付きインライン・サービスのデプロイを認可します。

インライン・サービス

rtd_ils

download_service

サーバーから指定されたインライン・サービスをダウンロードするためにDecision Studioの使用を認可します。

Decision Centerのパースペクティブ

rtd_dc_persp

dc_perspective

Decision Centerに専門のUI要素または機能をレンダリングさせるために、指定されたDecision Centerのパースペクティブを開きます。

登録されているバッチ・ジョブ・タイプ

rtd_batch

batch_admin

登録されているバッチ・ジョブ・タイプ名のステータスの開始、停止、問合せを行うためにBatchManager Webサービスの任意のメソッドを実行できます。

B.4.1.2 デフォルトのアプリケーション・ロール

デフォルトのアプリケーション・ロールは、管理者(BIAdministrator)、作成者(BIAuthor)およびコンシューマ(BIConsumer)という幅広いカテゴリの機能用途へとグループ化されます。これらのカテゴリは、管理者、他者のためにレポートを作成する作成者、および他者(作成者)によって作成されたレポートを読む(消費する)コンシューマという、Oracle Business Intelligenceのユーザーが引き受ける典型的なロールに対応しています。

デフォルトのOracle Business Intelligenceアプリケーション・ロールは、次のとおりです。

BIAdministratorロール

BIAdministratorロールは、Oracle Business Intelligenceインストールの構成と管理に必要な管理権限を付与します。BIAdministratorsグループのメンバーには、このロールが明示的に付与され、BIAuthorとBIConsumerのロールが暗黙的に付与されます。デフォルトのロール権限のリストについては、表B-4および表B-5を参照してください。

注意:

Oracle Business Intelligenceを正しく機能させるには、BIAdministratorロールが(BISystemロールとともに)存在する必要があります。

BIAuthorロール

BIAuthorロールは、他のユーザーが使用または消費するコンテンツの作成と編集に必要な権限を付与します。BIAuthorsグループのメンバーには、このロールが明示的に付与され、BIConsumerのロールが暗黙的に付与されます。デフォルトのロール権限のリストについては、表B-4および表B-5を参照してください。

BIConsumerロール

BIConsumerロールは、他のユーザーが作成したコンテンツの使用または消費に必要な権限を付与します。デフォルトのロール権限のリストについては、表B-4および表B-5を参照してください。

BISystemロール

BISystemロールは、他のユーザーの偽装に必要な権限を付与します。このロールは、Oracle Business Intelligenceシステム・コンポーネントでコンポーネント間通信に必要です。デフォルトのロール権限のリストについては、表B-4および表B-5を参照してください。

注意:

Oracle Business Intelligenceを正しく機能させるには、BISystemロールが(BIAdministratorロールとともに)存在する必要があります。

認証済ロール

認証済ロールは、Oracle Fusion Middlewareセキュリティ・モデルで提供される特殊なアプリケーション・ロールであり、このセキュリティ・モデルをデプロイする任意のアプリケーションで利用できます。Oracle Business Intelligenceは、認証されたアプリケーション・ロールを使用して、認証済ロールがメンバーとして属するロールおよびグループ階層によって暗黙的に派生した権限を付与します。認証済ロールは、デフォルトでBIConsumerロールのメンバーであるため、すべての認証済ロール・メンバーは、BIConsumerロールの権限を暗黙的に付与されます。

Oracle Business Intelligenceへのログインに成功したすべてのユーザーは、認証済ロールのメンバーになります。これは、リリース10gのEveryoneカタログ・グループのかわりです。認証済ロールはobiアプリケーション・ストライプの一部ではなく、Oracle Business Intelligenceのポリシー・ストアでは検索できません。ただし、認証済ロールはポリシー・ストアの管理インタフェースに表示され、アプリケーション・ロールのリストで使用可能であり、別のアプリケーション・ロールのメンバーとして追加できます。

認証済ロールは、別のユーザー、グループまたはアプリケーション・ロールに割り当てることができますが、認証済ロール自体を削除することはできません。認証済ロールを削除するとシステムにログインできなくなるので、この権利は明示的に付与される必要があります。

Oracle Fusion Middlewareのセキュリティ・モデルおよび認証済ロールの詳細は、『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』を参照してください。

B.4.1.3 デフォルトのアプリケーション・ロール、権限付与、およびグループ・マッピング

デフォルトのファイルベースのポリシー・ストアは、Oracle Business Intelligenceデフォルト・アプリケーション・ロールで構成されます。各アプリケーション・ロールは、1組の権限付与および1つ以上のメンバーで事前に構成されます。アプリケーション・ロールのメンバーは、ポリシー・ストアからのユーザー、グループまたは他のアプリケーション・ロールを含むことができます。

表B-4および表B-5に、アプリケーション・ロール、権限付与およびメンバーのデフォルト構成を記載します。デフォルトのネーミング規則は、アプリケーション・ロール名は単数で、グループ名は複数ということです。

表B-4 デフォルトのアプリケーション・ロール、権限付与、およびメンバー

ロール名

ロール権限

メンバー

BIAdministrator

- oracle.bi.server.manageRepositories

- oracle.bi.scheduler.manageJobs

- oracle.bi.publisher.administerServer

- EPM_Calc_Manager_Administrator

- oracle.epm.financialreporting.administerReporting

BIAdministratorsグループ

BIAuthor

- oracle.bi.publisher.developReport

- oracle.bi.publisher.devlopDataModel

- EPM_Essbase_Administrator

- EPM_Calc_Manager_Designer

- oracle.epm.financialreporting.editBatch

- oracle.epm.financialreporting.editBook

- oracle.epm.financialreporting.editReport

- oracle.epm.financialreporting.scheduleBatch

- BIAuthorsグループ

- BIAdministratorアプリケーション・ロール

BIConsumer

- oracle.bi.publisher.accessExcelReportAnalyzer

- oracle.bi.publisher.accessOnlineReportAnalyzer

- oracle.bi.publisher.runReportOnline

- oracle.bi.publisher.accessReportOutput

- oracle.bi.publisher.scheduleReport

- EPM_Essbase_Filter

- oracle.epm.financialreporting.acessReporting

- BIConsumersグループ

- BIAuthorアプリケーション・ロール

BISystem

- oracle.bi.scheduler.manageJobs

- oracle.bi.server.manageRepositories

- oracle.bi.server.impersonateUser

- oracle.bi.server.queryUserPopulation

BISystemUser

表B-5に、インストール後のデフォルトのアプリケーション・ロール、Oracle RTDリソース・タイプ、リソース名、およびデフォルトのアプリケーション権限付与のアクションを一覧表示します。Real-Time Decision (RTD)リソースのデフォルトの詳細は、Oracle Fusion Middleware Oracle Real-Time Decision管理者ガイドのOracle Real-Time Decisionのセキュリティに関する項を参照してください。

注意:

リソース名_all _は、関連付けられているリソース・タイプの任意のOracle RTDリソース名に一致する特殊な名前です。

表B-5 Oracle RTDユーザーのデフォルトのアプリケーション権限

アプリケーション・ロール

リソースのタイプ

リソース名

アクション[:修飾子]

BIAdministrator

rtd_ils

_all_

open_service:read

open_service:write

deploy_service

download_service

choice_editor

decision_service:normal

decision_service:stress

dc_perspective

batch_admin

BIAuthor

rtd_ils

_all_

open_service:read

open_service:write

deploy_service

download_service

decision_service:normal

decision_service:stress

BIAuthor

rtd_dc_persp

_all_

dc_perspective

BIConsumer

rtd_ils

_all_

open_service:read

choice_editor

decision_service:normal

BIConsumer

rtd_dc_persp

Explore

dc_perspective

BIConsumer

rtd_dc_persp

At a Glance

dc_perspective

BIConsumer

rtd_batch

_all_

batch_admin

B.4.2 デフォルトの認証プロバイダ

認証プロバイダは、ユーザーとグループの情報にアクセスし、ユーザーの認証を担当します。アイデンティティ・ストアには、ユーザー名、パスワード、およびグループ・メンバーシップ情報が含まれており、Oracle Business Intelligenceでは、現在、ディレクトリ・サーバーです。デフォルト・セキュリティ構成はDefaultAuthenticatorという名前の認証プロバイダを使用して、Oracle WebLogic Serverに組み込まれたディレクトリ・サーバーに照らし合せて認証します。

ユーザー名とパスワードを組み合せてユーザーがシステムにログインすると、Oracle WebLogic Serverは、提供された組み合せに基づいてIDを検証します。このプロセス中に、Javaプリンシパルが、認証を受けているユーザーまたはグループに割り当てられます。プリンシパルは1つ以上のユーザーまたはグループから構成でき、サブジェクトに格納されます。サブジェクトは、ID情報をグループ化し保持するために使用するJAAS要素です。

認証に成功すると、各プリンシパルは署名され、サブジェクトに格納されます。プログラム・コールがサブジェクトに格納されているプリンシパルにアクセスすると、デフォルトの認証プロバイダは、署名後にプリンシパルが変更されていないこと、およびプリンシパルがコールを発しているプログラムに返されることを検証します。たとえば、Oracle WebLogic Serverのデフォルト認証では、サブジェクトには、ユーザーのプリンシパル(WLSUserPrincipal)、およびユーザーがメンバーとして属しているグループのプリンシパル(WLSGroupsPrincipals)が含まれています。インストールのデフォルト以外の認証プロバイダが構成されている場合は、ID情報の格納方法が異なる場合があるため、そのプロバイダのドキュメントを確認してください。

B.4.2.1 デフォルトのグループとメンバー

グループとは、論理的に順序付けられたユーザーの集合のことです。同様のシステム・リソースへのアクセス・ニーズを持つグループのユーザーを作ることで、セキュリティ管理が容易になります。グループを管理することは、多数のユーザーを個々に管理するより効率的です。グループは次に、権利を付与するためにアプリケーション・ロールに割り当てられます。Oracleは、メンテナンスを容易に行うために、ユーザーをグループへとまとめることをお薦めします。

ここで説明するデフォルトのグループ名は、操作を容易にするために提供されるため、インストール直後にOracle Business Intelligenceソフトウェアの使用を開始できますが、デフォルト名を維持する必要はありません。

表B-6に、インストール・プロセス中に作成されるグループ名およびグループ・メンバーを記載します。これらのデフォルトは異なる値に変更することが可能であり、また、管理ユーザーはOracle WebLogic Server管理コンソールを使用して新しいグループ名を追加できます。

表B-6 デフォルトのグループとメンバー

目的

グループ名とメンバー

説明

Oracle Business Intelligenceの管理ユーザーを含めます。

名前: BIAdministrators

メンバー: 任意の管理ユーザー

- BIAdministratorsグループのメンバーは、管理権限が付与されます。このグループは、インストール時にBIAdministratorアプリケーション・ロールに割り当てられるためです。

- デフォルトのセキュリティ構成を使用する場合、管理者権限を必要とするすべてのユーザーは、BIAdministratorsグループに追加される必要があります。

Oracle Business Intelligenceの作成者を含めます。

名前: BIAuthors

メンバー: BIAdministratorsグループ

BIAuthorsグループのメンバーは、他のユーザーが使用する、または消費するコンテンツを作成するのに必要な権限を持っています。

Oracle Business Intelligenceコンシューマを含みます。

名前: BIConsumers

メンバー: BIAuthorsグループとOracle WebLogic Server LDAPサーバー・ユーザー・グループ

- BIConsumersグループのメンバーは、他のユーザーによって作成されたコンテンツを使用する、または消費するのに必要な権限を持っています。

- BIConsumersグループは、Oracle Business Intelligenceによって認証されたすべてのユーザーを示します。デフォルトでは、すべての認証ユーザーは、このグループに自動的に追加されます。

- Oracle WebLogic Server LDAPサーバーのユーザー・グループのメンバーは、Oracle WebLogic Server管理コンソールにログインして使用するのに必要な権限を持っています。

B.4.2.2 デフォルトのユーザーとパスワード

Oracle WebLogic Serverが組み込まれたディレクトリ・サーバーには、デフォルトのセキュリティ構成の一部として提供されるOracle Business Intelligenceユーザー名が含まれています。これらのデフォルトのユーザー名は、操作を容易にするために提供されるため、インストール直後にOracle Business Intelligenceソフトウェアの使用を開始できますが、デフォルト名を使用し続ける必要はありません。

表B-7に、インストール後のOracle WebLogic Serverが組み込まれたディレクトリ・サーバーのデフォルトのユーザー名とパスワードを記載します。

表B-7 デフォルトのユーザーとパスワード

目的

ユーザー名とパスワード

説明

管理者ユーザー

名前: 管理者ユーザー

パスワード: ユーザーが提供

- このユーザー名はインストールを実行する人が入力し、任意の名前でもよく、管理者という名前である必要はありません。

- インストール時に入力されたパスワードは、アイデンティティ・ストア・プロバイダの管理インタフェースを使用して後で変更できます。

- 管理ユーザーは、BIAdministratorsグループのメンバーであり、偽装を除いて、初期のリリースでOracle Business Intelligence管理者ユーザーに付与されたすべての権利を持ちます。管理者ユーザーは他のユーザーとして偽装できません。

- 単一の管理ユーザーがOracle Business IntelligenceとOracle WebLogic Serverによって共有されます。このユーザーは、インストール後にOracle WebLogic Serverのデフォルトの管理者グループのメンバーに自動的になります。これにより、このユーザーは、Oracle WebLogic Serverに組み込まれたディレクトリ・サーバーを管理する機能など、すべてのOracle WebLogic Server管理タスクを実行できるようになります。

- 信頼できるコンポーネント間通信のためにインストール時に作成された固定ユーザー。

- すべてのOracle Business Intelligenceシステム・コンポーネントは、このユーザーとして実行されます。

名前: BISystemUser

パスワード: システム生成

- これは、資格証明を非管理ユーザーから保護する必要がある高い権限を持つユーザーです。

- 安全なコンポーネント間通信のために個別のユーザーを使用することで、コンポーネント間の通信に影響を与えることなく、システム管理者アカウントのパスワードを変更できます。

- このユーザーの名前は変更できます。または、コンポーネント間通信のために別のユーザー作ることができます。

B.4.3 デフォルトの資格証明ストア・プロバイダ

資格証明ストアとは、ユーザー、Javaコンポーネント、およびシステム・コンポーネントの認可レベルを検証するセキュリティ・データ(資格証明)のリポジトリのことです。Oracle Business Intelligenceのシステム・プロセスでは、これらの資格証明を使用して信頼できる通信を確立します。

B.4.3.1 デフォルトの資格証明

Oracle Business Intelligenceのデフォルトの資格証明ストアはファイルベースです。これは、ウォレットベースとも呼ばれ、cwallet.ssoファイルで表されます。デフォルトの資格証明ストアはFusion Middleware Controlで管理されます。

資格証明は、マップと呼ばれる論理的なコレクションへとグループ化されます。デフォルトのセキュリティ構成は、oracle.bi.systemとoracle.bi.enterpriseというマップを含んでいます。各資格証明には、system.userまたはrepository.paintのようなキーを使用してマップからアクセスします。キーでは大文字/小文字が区別されます。各リポジトリ・ファイルは、資格証明マップに自身のエントリを持っています。

oracle.bi.actions資格証明マップは手動で作成されます。oracle.bi.actions資格証明マップの作成の詳細は、『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionインテグレーターズ・ガイド』のアクション・フレームワークで使用するための資格証明の追加と維持に関する項を参照してください。

表B-8に、インストール後にデフォルトの資格証明ストアに含まれている資格証明を記載しています。

表B-8 デフォルトの資格証明

説明

マップとキー

ユーザー名とパスワード

リポジトリ・パスワード

マップ: oracle.bi.enterprise

キー: repository.RPD名

名前: 該当なし

パスワード: ユーザーが提供

BISystemユーザー

マップ: oracle.bi.system

キー: system.user

名前: BISystemUser

パスワード: システム生成

Oracle Business Intelligence Schedulerスキーマ・ユーザー

マップ: oracle.bi.enterprise

キー: scheduler.schema

名前: Schedulerスキーマの名前

パスワード: システム生成

B.4.4 アプリケーション・ロールを使用してユーザー権限を付与する方法

デフォルトのOracle Business Intelligenceセキュリティ構成では、事前構成済の権限がアプリケーション・ロールに付与されて提供されます。アプリケーション・ロールはグループをメンバーとして持ち、ロールの権限がグループのメンバーシップを介してユーザーに継承されます。グループをアプリケーション・ロールに割り当てることで、ロールの権限がグループのすべてのメンバーに伝達されます。

権限は、次の関係を構築することで、Oracle Business Intelligenceアプリケーション・ロールによって付与されます。

- グループによって、同様のシステム・アクセス要件を持つユーザーの組が定義されます。ユーザーは、必要なアクセスのレベルに従って1つ以上のグループにメンバーとして追加されます。

- アプリケーション・ロールは、Oracle Business Intelligenceを使用するときにユーザーが一般的に実行するロールを定義します。デフォルトのセキュリティ構成では、管理者(BIAdministrator)、作成者(BIAuthor)およびコンシューマ(BIConsumer)というロールが提供されます。

- グループは、各グループが必要とするアクセスのタイプに一致する1つ以上のアプリケーション・ロールに割り当てられます。

- アプリケーション・ポリシーは、各ロール・タイプに対応する1組のアクセス権を付与するOracle Business Intelligence権限を定義します。

- アプリケーション・ロールは、ロール・タイプ(管理者、作成者、コンシューマ)が必要とする権限の組を付与するアプリケーション・ポリシーに割り当てられます。構成後は、アプリケーション・ロールはアプリケーション・ポリシーの権限受領者になります。

- グループ・メンバーシップは、グループ階層の性質によって継承できます。継承したグループに割り当てられているアプリケーション・ロールも継承され、それらの権限も同様に伝達されます。

ユーザー権限は、システムによって次のように決定されます。

1. ユーザーは、ログイン時にWebブラウザに資格証明を入力します。ユーザー資格証明は、アイデンティティ・ストアに含まれているデータに照らし合せて認証プロバイダによって認証されます。

2. 認証に成功したら、Javaサブジェクトとプリンシパルの組合せが発行され、ユーザー名とユーザーのグループが入力されます。

3. ユーザーのグループのリストがアプリケーション・ロールに照合されます。ユーザーのグループのそれぞれに割り当てられるアプリケーション・ロールのリストが作成されます。

4. 付与されるユーザー権限は、ユーザーがどのアプリケーション・ロールのメンバーであるかを把握することによって決定されます。グループのリストは、ユーザーがどのロールを持っているかを判断するためだけに生成され、他の目的には使用されません。

たとえば、Oracle BI管理ツールからオフライン・モードでリポジトリ・ファイルを開く機能には、リポジトリの管理権限(oracle.bi.server.manageRepositories)が必要です。デフォルトのセキュリティ構成では、この権限はBIAdministratorアプリケーション・ロールのメンバーシップによって付与されます。BIAdministratorアプリケーション・ポリシーには実際の権限付与定義が含まれています。また、この例では、BIAdministratorアプリケーション・ポリシーにはリポジトリの管理権限の定義が含まれています。デフォルトのセキュリティ構成には、BIAdministratorアプリケーション・ロールとBIAdministratorsグループとの間で事前に構成された対応付けがあります。使用している環境でリポジトリの管理権限をユーザーに伝達するには、そのユーザーをBIAdministratorsグループに追加します。オンライン・モードでリポジトリを管理する必要のあるすべてのユーザーは、各ユーザーに必要な権限を個々に付与するのではなく、BIAdministratorsグループに追加する必要があります。ユーザーにリポジトリの管理権限が必要なくなれば、ユーザーをBIAdministratorsグループから削除します。BIAdministratorsグループから削除されたユーザーには、ロールのメンバーシップによって付与されたBIAdministratorアプリケーション・ロールまたはリポジトリの管理権限がなくなります。

また、ユーザーは、グループ・メンバーシップおよびアプリケーション・ロールを継承することでも権限を取得できます。この処理を実行する方法の詳細と例は、第B.4.4.1項「権限の継承とロールの階層」を参照してください。

B.4.4.1 権限の継承とロールの階層

Oracle Business Intelligenceでは、デフォルトのアプリケーション・ロールのメンバーには、グループと他のアプリケーション・ロールの両方が含まれています。結果的に、明示的に付与することに加えて、権限を継承できる階層的なロール構造となります。ロールのメンバーであるグループは、ロールの権限と、そのロールから派生したすべてのロールの権限が付与されます。ロールの階層を構築するときは、循環依存が生じないことが重要です。

図B-2は、デフォルトのアプリケーション・ロール間の関係と、どのように権限がメンバーに付与されるかを示しています。

図B-2 デフォルトのアプリケーション・ロールの階層の例

「図B-2 デフォルトのアプリケーション・ロールの階層の例」の説明

図B-2では、複数のOracle Business Intelligenceのデフォルト・グループおよびアプリケーション・ロールを使用して、ロールの階層から権限を付与しています。デフォルトのBIAdministratorロールはBIAuthorロールのメンバーであり、BIAuthorロールはBIConsumerロールのメンバーです。結果として、BIAdministratorsグループのメンバーは、BIAdministratorロール、BIAuthorロールおよびBIConsumerロールの権限をすべて付与されます。このため、特定のグループのメンバーであるユーザーには、明示的な権限と任意の追加的な継承される権限の両方が付与されます。

注意:

グループとグループ階層は、それら自体では、アプリケーション・リソースにアクセス権を提供しません。権限は権限の付与により伝達され、アプリケーション・ポリシーで定義されます。ユーザー、グループまたはアプリケーション・ロールは、アプリケーション・ポリシーの権限受領者になります。アプリケーション・ポリシーの権限受領者は、直接的な対応付けによって(ユーザーなど)または権限受領者のメンバーになることによって(グループやアプリケーション・ロールなど)権限を伝達します。

表B-9に、図Bー2に示すすべてのグループ・メンバー(ユーザー)に付与されるロールと権限を詳しく示します。

表B-9 ロールの階層によって付与される権限の例

ユーザー名

グループ・メンバーシップ: 明示的/継承

アプリケーション・ロールのメンバーシップ: 明示的/継承

権限付与: 明示的/継承

User1、User2、User3

BIConsumers: 明示的

BIConsumer: 明示的

アクセス・レポート: 明示的

User4、User5

BIAuthors: 明示的

BIConsumers: 継承

BIAuthor: 明示的

BIConsumer: 継承

レポートの作成: 明示的

レポートへのアクセス: 継承

User6、User7

BIAdministrators: 明示的

BIAuthors: 継承

BIConsumers: 継承

BIAdministrator: 明示的

BIAuthor: 継承

BIConsumer: 継承

リポジトリの管理: 明示的

レポートの作成: 継承

レポートへのアクセス: 継承

B.4.4.2 カタログ・グループと優先順位

カタログ・パーミッションを管理するために、カタログ・グループとアプリケーション・ロールを組み合せて使用する場合は、カタログ・グループが優先されます。たとえば、ユーザーが、プレゼンテーション・サービスのオブジェクトまたは機能へのアクセスを付与するカタログ・グループのメンバーであり、同じオブジェクトまたは機能へのアクセスを拒否するアプリケーション・ロールのメンバーでもある場合、このユーザーにはアクセス権が付与されます。カタログのグループはアプリケーション・ロールに優先します。Presentation Servicesの権限の詳細は、第D.2.3項「Presentation Servicesの権限の管理」を参照してください。

B.5 インストール後の共通セキュリティ・タスク

Oracle Business Intelligenceソフトウェアのインストールに成功した後に実行する共通のセキュリティ・タスクは、目的によって異なります。Oracle Business Intelligenceをインストールする共通の理由は、次のとおりです。

- 製品を評価します。

- 製品を実装します。

通常、実装において、次の環境の1つ以上で製品を使用する製品ライフサイクルを経験します。

- 開発

- テスト

- 本番

B.5.1 Oracle Business Intelligenceを評価する共通のセキュリティ・タスク

表B-10に、Oracle Business Intelligenceを評価するために実行される共通のセキュリティ・タスクを記載して、詳細へのリンクを提供しています。

表B-10 タスク・マップ: Oracle Business Intelligenceを評価するための共通のセキュリティ・タスク

タスク

説明

参照先

Oracle Fusion Middlewareセキュリティ・モデルおよびOracle Business Intelligenceのデフォルトのセキュリティ構成を理解します。

インストールに成功したら、Oracle Fusion Middlewareセキュリティ・モデルおよびOracle Business Intelligenceのデフォルトのセキュリティ構成の重要な要素について学ぶ。

第1章「Oracle Business Intelligenceのセキュリティの紹介」

第B.4項「デフォルト・セキュリティ構成」

『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』

デフォルトのアイデンティティ・ストアにユーザーとグループを追加します。

Oracle WebLogic Server管理コンソールを使用して、組み込まれたディレクトリ・サーバーの新しいユーザーおよびグループ定義を作成します。

第2.3.2項「組込みWebLogic LDAPサーバーにおける新規ユーザーの作成」

Oracle Fusion Middleware Oracle WebLogic Server管理コンソール・オンライン・ヘルプ

新しいメンバーをデフォルトのアプリケーション・ロールに追加します。

BIConsumerなど、デフォルトのアプリケーション・ロールにメンバーとして新規のユーザーまたはグループを追加します。

第2.4.4項「Fusion Middleware Controlの使用によるアプリケーション・ロールの変更」

第B.4.1.3項「デフォルトのアプリケーション・ロール、権限付与、およびグループ・マッピング」

『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』

既存のデフォルトのアプリケーション・ロールに基づいて新しいアプリケーション・ロールを作成します。

既存のデフォルトのアプリケーション・ロールに基づいて、コピーを行いそのコピーに名前を付けることによって新しいアプリケーション・ロールを作成します。

第2.4.2項「Fusion Middleware Controlの使用によるアプリケーション・ロールの作成」

『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』

B.5.2 Oracle Business Intelligenceを実装するための共通のセキュリティ・タスク

表B-11に、Oracle Business Intelligenceを実装するときに実行する共通のセキュリティ・タスクを示し、詳細へのリンクを提供します。次のタスクは、第B.5.1項「Oracle Business Intelligenceを評価するための共通のセキュリティ・タスク」に記載されているタスクに加えて実行されます。

表B-11 タスク・マップ: Oracle Business Intelligenceを実装するための共通のセキュリティ・タスク

タスク

説明

参照先

認証プロバイダおよびアイデンティティ・ストアとしてエンタープライズ・ディレクトリ・サーバーを使用することへの遷移。

認証プロバイダおよびアイデンティティ・ストアになるようにエンタープライズ・ディレクトリ・サーバーを構成します。

第3.4項「代替認証プロバイダの構成」

付録A 代替セキュリティ管理オプション

新しいアプリケーション・ロールを作成します。

新しいアプリケーション・ロールを作成し、ロールをアプリケーション・ポリシーの権限受領者にします。

第2.4.2項「Fusion Middleware Controlの使用によるアプリケーション・ロールの作成」

新しく作成したアプリケーション・ロールにグループを割り当てます。

グループ・メンバーに権限付与を伝達するために、新しく作成したアプリケーション・ロールにグループを割り当てます。

第2.4.4項「Fusion Middleware Controlの使用によるアプリケーション・ロールの変更」

SSLを使用するかどうかを決定します。

SSL通信を使用するかどうかを決定し、実装するための計画を考えます。

第5章「Oracle Business IntelligenceでのSSL構成」

デプロイメントにおいてSSOプロバイダを使用するかどうかを決定します。

SSO認証を使用するかどうか決定し、実装する計画を考えます。

第4章「SSO認証の有効化」

B.6 アップグレード後のデフォルトのセキュリティ構成について

アップグレード・アシスタントは、Oracle Business Intelligenceインストールを選択的にアップグレードできるようにする一体型のグラフィカル・ユーザー・インタフェースです。アップグレードの詳細は、Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionアップグレード・ガイドを参照してください。

ユーザー、グループ、および資格証明を定義して格納する方法と場所について、セキュリティ・モデルに大きな変更が加えられました。次に示すのは、アップグレード・アシスタントによってアップグレード・プロセス中に行われる変更の一部の概要です。

- ユーザー、パスワード、およびグループがデフォルトのリリース10gのリポジトリ・ファイルからリリース11gのデフォルトのアイデンティティ・ストアに移動されます(Oracle WebLogic Server組込みLDAPサーバー)。

- 接続プールやLDAPサーバーなど、他のリポジトリ・オブジェクトのパスワードは、リポジトリに残されて暗号化されます。リポジトリ自体も同様に暗号化されます。

- 管理者ユーザーは、デフォルトのリリース10gリポジトリ・ファイルから、デフォルトのアイデンティティ・ストアに移行されて、BIAdministratorsグループのメンバーになります。BIAdministratorsグループは、BIAdministratorロールを付与され、その対応付けによってシステムの管理権限を持ちます。

- Oracle BIプレゼンテーション・カタログの古いカタログ・グループおよびユーザーへの参照は更新されます。

- 変数名ROLES、PERMISSIONS、USERGUID、およびROLEGUIDSは、予約されたリリース11gのシステム変数名です。リリース10gのリポジトリ・ファイルをアップグレードする前に、これらの変数の名前を変更する必要があります(存在する場合)。これらの変数名への他の参照は、レポートのように、一貫性を維持するために名前を変更する必要があります。

注意:

アップグレード前に、リポジトリ・ファイルとOracle BIプレゼンテーション・カタログのバックアップを作成し、必要に応じてオリジナルをリストアできるようにしてください。

B.6.1 アップグレード後のセキュリティ関連の変更

次に示すのは、Oracle Business Intelligenceインストールをアップグレードするときにアップグレード・アシスタントによって開始されるセキュリティ関連の変更の概要です。システムのアップグレードの詳細は、Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionアップグレード・ガイドを参照してください。

一般に、標準的なアップグレード・プロセスは次のとおりです。アップグレード・アシスタントが、Oracle Business Intelligenceリリース11gソフトウェアがインストールされたシステムで実行されます。このプロセス中に、リリース10gのリポジトリ・ファイルおよびOracle BIプレゼンテーション・カタログからのメタデータが、リリース11gのシステムにインポートされます。アップグレード・プロセスが完成した後は、リリース10gのシステムは変更されません。必要に応じて、リリース11gの環境で機能するように、リポジトリに定義されているユーザーおよびグループをOracle WebLogic Serverに組み込まれたLDAPサーバーに移動するなど、インポートされたメタデータがアップグレードされます。しかし、SSL設定などの構成設定はアップグレード・ソースから引き継がれません。

アップグレード・アシスタントを実行する前に、次を利用できる必要があります。

- Oracle Business Intelligenceリリース10gのインストール。これはアップグレード・ソースとして使用されます。このインストールは、リリース10gでサポートされているセキュリティ・メカニズム(たとえば、リポジトリ・ユーザーおよびグループ、認証初期化ブロック、カタログ・グループ、およびSAシステム・サブジェクト・エリアなど)を任意に組み合せて使用するように構成できます。

- アップグレードのターゲットとして使用されるOracle Business Intelligenceリリース11gのデフォルトのインストール。このインストールは、いかなる方法でもカスタマイズされていてはいけません。

アップグレード・アシスタントは、リリース10gのインストールの詳細を求めます。次の項で説明するように、アップグレード・アシスタントは、既存のセキュリティ関連のエントリをリリース11gシステムに移行します。

B.6.1.1 アイデンティティ・ストアに影響する変更

アップグレード・アシスタントは、ターゲット・システムのためのOracle WebLogic Server組込みLDAPサーバーに、次のエントリを自動的に作成します。

- リポジトリに見つかる各グループに対応するLDAPグループ。これには、以前のリリースに見られた管理者グループは含まれていません。この管理者グループにいたユーザーは、BIAdministrators LDAPグループに追加されます。

- リポジトリ・グループ階層に一致するLDAPグループ階層。

- 管理者ユーザーは移行され、BIAdministratorsグループの一部になります。

管理者ユーザーを除く、デフォルトのリポジトリの管理者グループのメンバーであるすべてのユーザーは、組込みLDAPサーバーのBIAdministratorsグループに追加されます。インストール時に提供される情報から作成されるリリース11gの管理者ユーザーも、組込みLDAPサーバーのBIAdministratorsグループに追加されます。

B.6.1.2 ポリシー・ストアに影響する変更

アップグレード・アシスタントは、ターゲット・システム用のファイルベースのポリシー・ストアに、次のエントリを自動的に作成します。

- デフォルトのリポジトリの各グループに対応するアプリケーション・ロール。これには、以前のリリースに見られた管理者グループは含まれていません。アプリケーション・ロールは、同じ名前を持つグループに付与されます。

- リポジトリ・グループ階層に一致するアプリケーション・ロール階層。

B.6.1.3 デフォルトのリポジトリ・ファイルに影響する変更

アップグレード・アシスタントは、ソース・システムのデフォルトのリポジトリを自動的にアップグレードし、次の変更を加えます。

- リリース10gのデフォルト・リポジトリのグループはすべて、アップグレード時にポリシー・ストアに作成されるアプリケーション・ロールへのアプリケーション・ロール参照(プレースホルダ)に変換されます。

- すべてのユーザーはアップグレード時にデフォルトのリポジトリから削除され、ターゲット・システムの組込みLDAPサーバーに作成されたLDAPユーザーへの参照(名前とGUID)に交換されます。

- 数値の接尾辞がアップグレードされたリポジトリ・ファイルの名前に追加されます。数値は、ファイルがアップグレードされた回数を示すために追加されます。

B.6.1.4 Oracle BIプレゼンテーション・カタログに影響する変更

アップグレード・アシスタントは自動的に、Oracle BIプレゼンテーション・カタログに次のような変更を行います。

- Oracle BIプレゼンテーション・カタログはスキャンされ、古いセキュリティ表現は新しいものに変換されます。10gに存在した権限は移行されます。各ユーザーの内部表現を、環境全体で使用される標準GUIDに更新します。LDAPサーバーに見つからなかったユーザーは、LDAPサーバーに追加されるまでは初期化ブロック・ユーザー・フォルダに配置され、その後、標準のユーザー・フォルダに移動されます。ユーザーとグループの古い表現への参照がすべて、GUIDに置き換えられます。Oracle BIプレゼンテーション・カタログ全体が確認されます。

- アップグレードされたOracle BIプレゼンテーション・カタログにリリース10gのカタログ・グループを残し、同じ権限、アクセスおよびメンバーシップを割り当てます。

B.6.2 10gリポジトリをアップグレードする計画

リリース10gのリポジトリは、アップグレード・アシスタントを使用して開いてアップグレードできます。アップグレード時に、次に示すセキュリティ関連の変更がリポジトリに対して加えられます。

- アップグレードされたリポジトリは、アップグレード時に入力されたパスワードによって保護され暗号化されます。

- リポジトリ・ファイルは、アイデンティティ・ストアに存在することが期待されるユーザーへの参照およびポリシー・ストアにあることが期待されるアプリケーション・ロールへの参照を含むようにアップグレードされます。

アップグレードされたリポジトリは、通常どおりにオフライン・モードでOracle BI管理ツールで開くことができ、オンライン・モードで開かれるサーバーにデプロイできます。

リリース10gリポジトリのアップグレードの詳細は、Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionアップグレード・ガイドを参照してください。

B.6.3 既存のSSL環境のアップグレード

SSL設定のような構成設定は、アップグレード元から引き継がれません。SSLの構成の詳細は、第5章「Oracle Business IntelligenceでのSSL構成」を参照してください。

B.6.4 既存のSSO環境のアップグレード

シングル・サインオン(SSO)設定などの構成設定は、アップグレード・ソースから引き継がれません。SSOの構成に関する詳細は、第4章「SSO認証の有効化」を参照してください。

C Oracle Business Intelligenceにおけるセキュリティのトラブルシューティング

この付録では、Oracle Business Intelligenceのセキュリティの使用および構成時に発生する可能性のある一般的な問題と、それらの解決方法について説明します。項目は次のとおりです。

- 第C.1項「ユーザーのログイン認証が失敗する問題の解決」

- 第C.2項「アイデンティティ・ストアとの非一貫性の解決」

- 第C.3項「ポリシー・ストアとの非一貫性の解決」

- 第C.4項「SSL通信問題の解決」

- 第C.5項「BIシステム・ユーザーの資格証明に関する問題の解決」

- 第C.6項「カスタムSSO環境の問題の解決」

- 第C.7項「SSOを使用したRSSフィードの認証の解決」

C.1 ユーザーのログイン認証が失敗する問題の解決

この項は、Oracle Business Intelligence Enterprise Edition 11gの使用時に発生する、ユーザーのログイン認証の失敗に関する最も一般的な問題の解決に役立ちます。考えられるすべてのシナリオを包括的に示すことを目的としているわけではありません。この項の内容は次のとおりです。

- 第C.1.1項「認証の概念」
この項では、Oracle Business Intelligence Enterprise Edition 11gにおける認証の基本的な概念について説明します。この項の説明を読む前提条件として、このガイド全体で説明されている概念を理解している必要があります。

- 第C.1.2項「Oracle BI Security Diagnostics Helperの使用によるセキュリティに関する問題の自動特定」
この項では、セキュリティに関するいくつかの一般的な問題を自動的に特定できる、Oracle BI Security Diagnostics Helperアプリケーションのデプロイおよび使用方法について説明します。

- 第C.1.3項「ユーザーのログイン認証が失敗する原因の特定」
この項では、認証が失敗した原因を特定するためのチェックリストとして使用できる、原因と結果の図を提供します。

- 第C.1.4項「ユーザーのログイン認証が失敗する問題の解決」
この項では、ログイン認証が失敗する理由とその解決策を示します。

C.1.1 認証の概念

この項では、ユーザーのログイン認証が失敗する問題の解決に役立つ、認証の概念について説明します。この項の内容は次のとおりです。

- 第C.1.1.1項「インストール時のデフォルトの認証」

- 第C.1.1.2項「Oracle WebLogic Server管理コンソールおよびFusion Middleware Controlの使用によるOracle Business Intelligenceの構成」

- 第C.1.1.3項「WebLogicドメインおよびログの場所」

- 第C.1.1.4項「Oracle Business Intelligenceの主要なログイン・ユーザー・アカウント」

- 第C.1.1.5項「Oracle Business Intelligenceのログインの概要」

C.1.1.1 インストール時のデフォルトの認証

インストール直後、Oracle Business Intelligenceは、DefaultAuthenticatorを経由してWebLogic組込みLDAPサーバーに対してユーザーを認証するように構成されます。インストール時にWebLogic管理者ユーザーとして入力されたアカウント資格証明を使用するWebLogic管理ユーザーをはじめ、デフォルトのユーザー・アカウントが設定されています。

C.1.1.2 Oracle WebLogic Server管理コンソールおよびFusion Middleware Controlの使用によるOracle Business Intelligenceの構成

Oracle WebLogic Server管理コンソールおよびFusion Middleware Controlを使用して、Oracle Business Intelligenceを構成します。これらのアプリケーションの使用方法の詳細は、第1.6項「ツールの使用によるOracle Business Intelligenceのセキュリティの構成」を参照してください。

Oracle WebLogic Server管理コンソールおよびFusion Middleware Controlにログインする際は、インストール・プロセスで管理ユーザーに指定したユーザー名とパスワードを使用する必要があります。ただし、そのアカウントを変更または削除した場合や、適切なアクセス権を持つ別のアカウントを構成した場合は除きます(第C.1.1.4項「Oracle Business Intelligenceの主要なログイン・ユーザー・アカウント」を参照)。

C.1.1.3 WebLogicドメインおよびログの場所

ユーザーのログイン認証に関する問題を診断および解決するには、次に示すWebLogicドメインおよびログ・ファイルの場所を知っておく必要があります。

注意:

この項は、インストールでデフォルトの場所が使用されたことを前提としています。異なるインストール場所を指定した場合は、それに合せてパスを変更する必要があります。

- Oracle Business IntelligenceがインストールされるWebLogicドメイン
MW_HOME/user_projects/domains/bifoundation_domain/

- WebLogic管理サーバーのログ
MW_HOME/user_projects/domains/bifoundation_domain/servers/AdminServer/logs/

- WebLogic管理対象サーバーのログ
MW_HOME/user_projects/domains/bifoundation_domain/servers/bi_server1/logs/

- BIサーバーのログ
MW_HOME/INSTANCE/diagnostics/logs/OracleBIServerComponent/coreapplication_obisn/

C.1.1.4 Oracle Business Intelligenceの主要なログイン・ユーザー・アカウント

この項では、主要なログイン・ユーザー・アカウントについて説明します。この項の内容は次のとおりです。

- 第C.1.1.4.1項「WebLogic管理ユーザー・アカウント」

- 第C.1.1.4.2項「BIシステム・ユーザー・アカウント」

- 第C.1.1.4.3項「Oracleシステム・ユーザー・アカウント」

C.1.1.4.1 WebLogic管理ユーザー・アカウント

WebLogic管理ユーザー・アカウントを使用すると、WebLogic Serverを起動できます。また、Oracle WebLogic Server管理コンソールおよびFusion Middleware Controlを使用してWebLogic Serverを管理することもできます。WebLogic管理アカウントには、Adminと呼ばれるWebLogicグローバル・ロールが割り当てられている必要があります(これはOracle Business Intelligenceアプリケーション・ロールではありません)。このグローバル・ロールでも、新しいWebLogic管理者アカウントを追加できます。

Oracle WebLogic Server管理コンソールを使用してグローバルAdminロールに対するユーザーの追加または削除を行うには:

1. Oracle WebLogic Server管理コンソールにWebLogic管理者としてログインし、チェンジ・センターで「ロックして編集」をクリックします。
詳細は、第1.6.1項「Oracle WebLogic Server管理コンソールの使用」を参照してください。

2. 左ペインで「セキュリティ・レルム」を選択し、「myrealm」をクリックします。
デフォルトのセキュリティ・レルムはmyrealmという名前です。

3. 最上部に並んだタブから「ロールとポリシー」を選択します。

4. ロールのリストでプラス記号をクリックして「グローバル・ロール」→「ロール」を展開し、Adminグローバル・ロールの「ロール条件の表示」リンクをクリックします。

5. 指定されている条件が、直接、または所属するグループに基づいて、ユーザーに一致することを確認します。
たとえば、条件にはUser=myadminaccountやGroup=Administratorsがあります。

6. 変更したら、「保存」をクリックします。

7. チェンジ・センターで、変更のアクティブ化をクリックします。

C.1.1.4.2 BIシステム・ユーザー・アカウント

BIシステム・ユーザー・アカウントを使用すると、異なるOracle BIコンポーネント間の内部認証を行うことができます。このアカウントは、通常のユーザー・アカウントとして(ログイン目的やアプリケーションを使用する目的で)は使用しないでください。インストール時に作成したデフォルトのユーザーを使用しない場合は、この目的のために特別なアカウントを割り当て、システムの実際のユーザーによって使用されるアカウントは使用しないようにすることをお薦めします。

インストール時、BIシステム・ユーザー・アカウントとして使用されるBISystemUserというアカウントが、WebLogic組込みLDAPストアにデフォルトで作成されます。このアカウントの資格証明(パスワードはランダムに作成されます)は、oracle.bi.systemマップのsystem.userキーの下にある資格証明ストアに格納されます。BIシステム・ユーザーに使用されるアカウントを変更する場合、またはデフォルト認証プロバイダ・アカウントを削除する場合、WebLogic組込みLDAPに対して認証できないため、新しいBIシステム・ユーザー・アカウントを作成する必要があります。詳細は、第3.7項「新しい信頼できるユーザー(BISystemUser)の構成」を参照してください。

注意:

BIシステム・ユーザー・アカウント(デフォルトではBISystemUser)は、BISystemアプリケーション・ロールおよびAdminというWebLogicグローバル・ロールに関連付けられる必要があります。BIシステム・ユーザー・アカウントに変更を加える場合は、管理サーバー、管理対象サーバーおよびOracle Business Intelligenceシステム・コンポーネントを再起動する必要があります。

次のいずれかの条件に該当する場合、一般にBIサーバーとBI Security Serviceとの間のユーザー認証は失敗します。

- (資格証明ストア内の)ユーザー資格証明がユーザー移入と同期されない。

- Oracle Business Intelligenceが再起動されていない。
この場合、BIサーバーから期限切れのsystem.user資格証明がBI Security Serviceに送信されます。

C.1.1.4.3 Oracleシステム・ユーザー・アカウント

Oracle BI EEのインストール時に、Oracle Web Services Manager (OWSM)に必要なOracleSystemUserアカウントが、WebLogic組込みLDAPストアにデフォルトで作成されます。OWSMはWebLogic ServerまたはOPSSによって、Oracle Business Intelligence Security Serviceへの呼び出しを保護するために使用されます。Oracleシステム・ユーザー・アカウントが正しくない場合、Oracle Business Intelligenceのログイン・プロセスは失敗します(詳細は、第C.1.1.5項を参照)。Oracleシステム・ユーザー・アカウントの名前はOracleSystemUserで、OracleSystemGroupというグループに属している必要があります。グループOracleSystemGroupには、OracleSystemRoleというグローバル・ロールが割り当てられている必要があります。

C.1.1.5 Oracle Business Intelligenceのログインの概要

ユーザーがシングル・サインオンを使用せずにOracle Business Intelligenceにログインするときに、認証およびユーザー・プロファイルの参照が行われます。シングル・サインオン(SSO)環境では、Oracle Business Intelligenceシステムの外部で認証が行われ、かわりにIDがアサートされますが、ユーザー・プロファイルの参照は引き続き行われます。

認証およびIDのアサートはそれぞれ認証プロバイダおよびアサーション・プロバイダによって行われ、Oracle WebLogic Server管理コンソールを使用して構成されます。ユーザー・プロファイルの参照では、単一のアイデンティティ・ストアが構成されていることに依存する、ユーザー・ロールAPIが使用されます。最初に構成された認証プロバイダが、デフォルトのアイデンティティ・ストアとして、ユーザーGUIDや電子メールの検索などに使用されます。正常にOracle Business Intelligenceにログインするには、最初に構成された認証プロバイダにユーザー移入が含まれている必要があります。詳細は、第3.4項「代替認証プロバイダの構成」を参照してください。

ログイン・プロセスでは、まずユーザーがログイン画面で資格証明を入力し、その資格証明がPresentation Services、BIサーバーの順に送信されます。BIサーバーでは、BI Security Web Service (WebLogic管理対象サーバーにデプロイされ、Webサービス・セキュリティのポリシーによって保護されます)を呼び出すことによって、ユーザー資格証明の認証が試行されます。この呼び出しでは、BIサーバーがOracle Web Services Managerに対してBIサーバーを認証することが要求されます。認証後、BIサーバーをBI Security Serviceで受信できるようになります。BIサーバーでは、ユーザーによって指定された資格証明の認証を試行する際に、oracle.bi.systemマップの下にあるsystem.userキーに格納されている資格証明を使用して(詳細は、第C.1.1.4.3項「Oracleシステム・ユーザー・アカウント」を参照)、BI Security Serviceに対してBIサーバーが認証されます。BIシステム・ユーザーの資格証明が正しくない場合、またはOracle Web Services Managerによってそれらの資格証明が認証されない場合、BIサーバーでBI Security Serviceを呼び出すことができず、ログイン・プロセスは失敗します。

C.1.2 Oracle BI Security Diagnostics Helperの使用によるセキュリティに関する問題の自動特定

Oracle BI Security Diagnostics Helperは、セキュリティに関する問題の特定に役立ちます。Oracleサポートの担当者への報告時に、Oracle BI Security Diagnostics Helperを使用することをお薦めします。詳細は、次を参照してください。

https://support.oracle.com

この項では、Oracle BI Security Diagnostics Helperを設定、デプロイおよび実行してOracle BIシステムの問題を特定する方法について説明します。この項の内容は次のとおりです。

- 第C.1.2.1項「Oracle BI Security Diagnostics Helperとは」

- 第C.1.2.2項「スクリプトの使用によるOracle BI Security Diagnostics Helperの設定(初回使用時のみ)」

- 第C.1.2.3項「Oracle BI Security Diagnostics Helperのデプロイ」

- 第C.1.2.4項「Oracle BI Security Diagnostics Helperの実行」

- 第C.1.2.5項「Oracle BI Diagnostics Helperの使用」

- 第C.1.2.6項「WebLogic Serverの再起動」

C.1.2.1 Oracle BI Security Diagnostics Helperとは

Oracle BI Security Diagnostics Helperは、ユーザーがOracle BIシステムにログインできない原因となる可能性のある、構成に関する問題の診断に役立つJEEアプリケーションです。

初めてOracle BI Security Diagnostics Helperを使用する場合、アプリケーションをデプロイおよび実行する前に、設定スクリプトを実行する必要があります。

一度デプロイすれば、WebブラウザでOracle BI Security Diagnostics HelperのURLにアクセスすることによって、セキュリティに関して考えられる問題を診断できます。

以降の各項では、Oracle BI Security Diagnostics Helperの設定および使用に関するすべての手順を詳しく紹介します。

C.1.2.2 スクリプトの使用によるOracle BI Security Diagnostics Helperの設定(初回使用時のみ)

初めてOracle BI Security Diagnostics Helperを使用する前にスクリプトを実行して、Oracle BI Security Diagnostics Helperが正しく設定されていることを確認する必要があります。このスクリプトによって、診断チェックを実行するための正しい権限が付与されます。すでに設定スクリプトを実行している場合、そのスクリプトを再度実行する必要はありません。

Oracle BI Security Diagnostics Helperを設定するには(初回使用時のみ):

初回使用時のみ、addDiagnosticsCodeGrant.pyというスクリプトを実行して、Oracle BI Security Diagnostics Helperが正しく設定されていることを確認する必要があります。

1. コマンド・プロンプトを開き、scriptsディレクトリに移動します。
UNIXでは、scriptsディレクトリは次の場所にあります。

MW_HOME/ORACLE_HOME/bifoundation/admin/scripts

Windowsでは、scriptsディレクトリは次の場所にあります。

MW_HOME\ORACLE_HOME\bifoundation\admin\scripts

たとえば、UNIXの場合、次のようになります。

mw_home/Oracle_BI1/bifoundation/admin/scripts

2. 設定スクリプトを実行します。
UNIXでは、次のコマンド構文を使用します。

MW_HOME/ORACLE_HOME/common/bin/wlst.sh addDiagnosticsCodeGrant.py t3://<WebLogic_host_name>:<WebLogic_port_number>

たとえば、UNIXで次のコマンドを入力します。

mw_home/Oracle_BI1/common/bin/wlst.sh addDiagnosticsCodeGrant.py t3://localhost:7001

Windowsでは、次の構文を使用します。

mw_home/Oracle_BI1/common/bin/wlst.cmd addDiagnosticsCodeGrant.py t3://<WebLogic_host_name>:<WebLogic_port_number>

たとえば、Windowsで次のコマンドを入力します。

mw_home\Oracle_BI1\common\bin\wlst.cmd addDiagnosticsCodeGrant.py t3://localhost:7001

スクリプトが正常に実行されると、コードの権限がbidiagnosticsに追加されましたと報告されます。また、スクリプトが正常に実行された場合、いくつかの警告およびエラー・メッセージが表示されますが、これらは無視できます。

3. 入力を求められた場合は、WebLogic管理者のユーザー名とパスワードを入力します。

4. WebLogic Serverを再起動します。
詳細は、第C.1.2.6項「WebLogic Serverの再起動」を参照してください。

C.1.2.3 Oracle BI Security Diagnostics Helperのデプロイ

Oracle BI Security Diagnostics Helperをデプロイする必要があります。Oracle BI Security Diagnostics Helperは、インストール時に自動的にWebLogic Serverにデプロイされません。

Oracle BI Security Diagnostics Helperをデプロイするには:

1. Oracle WebLogic Server管理コンソールにログインし、「チェンジ・センター」で「ロックして編集」をクリックします。
詳細は、第1.6.1項「Oracle WebLogic Server管理コンソールの使用」を参照してください。

2. 「デプロイメント」をクリックします。

3. 「インストール」をクリックします。

4. bidiagnostics.earファイルを選択します。
UNIXでは、bidiagnostics.earファイルは次の場所にあります。

MW_HOME/ORACLE_HOME/bifoundation/jee

例:

mw_home/OracleBI1/bifoundation/jee/bidiagnostics.ear

5. 「次へ」をクリックし、「アプリケーション・インストール・アシスタント」ページを表示します。

6. 「このデプロイメントをアプリケーションとしてインストールする」を選択します(すでに選択されています)。

7. 「次へ」をクリックし、「デプロイ・ターゲットの選択」ページを表示します。

8. 「サーバー」領域で「AdminServer」を選択します。

9. 「次へ」→「終了」をクリックします。

10. 「変更のアクティブ化」をクリックします。
Oracle BI Diagnostic Helperの状態が「準備が完了しました」に変更され、起動可能になります。

次のメッセージが表示されます。「すべての変更がアクティブ化されました。再起動は不要です。」

C.1.2.4 Oracle BI Security Diagnostics Helperの実行

デプロイ後、Oracle BI Diagnostics Helperは自動的に起動しないため、実行する必要があります。

Oracle BI Security Diagnostics Helperを実行するには:

1. Oracle WebLogic Server管理コンソールにログインし、「チェンジ・センター」で「ロックして編集」をクリックします。
詳細は、第1.6.1項「Oracle WebLogic Server管理コンソールの使用」を参照してください。

2. 「デプロイメント」をクリックします。

3. 「bidiagnostics」チェック・ボックスを選択します。

4. 「起動」をクリックし、次のいずれかのオプションを選択します。
- すべてのリクエストを処理

- 管理リクエストのみを処理

Oracle BI Security Diagnostics Helperが設定され、実行されます。

起動時に、bidiagnosticsの状態が「アクティブ」に設定されます。

C.1.2.5 Oracle BI Diagnostics Helperの使用

Oracle BI Security Diagnostics Helperでは、次のトピックで概説する一連のセキュリティ・テストが実行されます。

- 第C.1.2.5.1項「OWSMのテスト」

- 第C.1.2.5.2項「BIシステム・ユーザーのテスト」

- 第C.1.2.5.3項「ユーザー資格証明の認証テスト」

注意:

セキュリティ・テストを開始するには、次の例のようなURLをWebブラウザに入力します。

http://mycomputer:7001/bidiagnostics/security/diagnostics.jsp
Use this URL for this release.

http://mycomputer:7001/bidiagnostics/security
Use this URL for later releases.

C.1.2.5.1 OWSMのテスト

OWSMのテストでは、次の内容が実行されます。

- MDS-OWSMデータ・ソースが存在するかどうかを確認し、見つかった場合はその場所を報告します。
たとえば、MDS-OWSMデータ・ソースが見つかった場合、このチェックから次のメッセージが返される場合があります。

JNDIパスjdbc/mds/owsmにデータ・ソースが見つかりました。

- MDS-OWSMへの接続を確認します。
このチェックでは、スキーマに正常に接続されたことが確認されます。チェックが失敗した場合は、エラー・メッセージが返されます。

- OracleSystemUserが存在するかどうかを確認します。
このチェックでは、ユーザーが存在することが確認されます。チェックが失敗した場合は、エラー・メッセージが返されます。

- OracleSystemUserがOracleSystemGroupに属しているかどうかを確認します。
このチェックでは、チェックが成功したかどうかが確認されます。チェックが失敗した場合は、エラー・メッセージが返されます。

C.1.2.5.2 BIシステム・ユーザーのテスト

BIシステム・ユーザーのテストでは、次の内容が実行されます。

- system.userキーが資格証明ストアに存在するかどうかを確認します。
このチェックでは、system.userキーが存在することが確認されます。チェックが失敗した場合は、エラー・メッセージが返されます。

- system.userアカウントを認証します。

- system.userの権限を確認します。
このチェックでは、system.userの権限が存在することが確認されます。チェックが失敗した場合は、エラー・メッセージが返されます。

C.1.2.5.3 ユーザー資格証明の認証テスト

ユーザー資格証明の認証テストでは、次の内容が実行されます(すべてのフィールドを入力し、認証のテストをクリックした場合)。

- 認証プロバイダを使用するアイデンティティ・ストアを確認します。

- Oracle BI Security Serviceの認証を確認します。

- Oracle BI Web Serviceの認証を確認します。

C.1.2.6 WebLogic Serverの再起動

WebLogic Serverを再起動するには:

1. Oracle WebLogic Server管理コンソールにログインします。
詳細は、第1.6.1項「Oracle WebLogic Server管理コンソールの使用」を参照してください。

2. 「ドメイン構造」領域で、「環境」→「サーバー」の順にクリックします。

3. 「サーバーのサマリー」ページで、「制御」タブを表示します。

4. 「bi_server1」を選択し、「停止」をクリックします(必要に応じて「作業完了時」または「ただちに強制停止」を選択します)。
クラスタを使用している場合は、複数のBIサーバー(bi_server1、bi_server2など)を選択します。

すべてのBIサーバーが停止したら、次の手順に進みます。

5. 「AdminServer」を選択し、「停止」をクリックします(必要に応じて「作業完了時」または「ただちに強制停止」を選択します)。

6. コマンド・プロンプトを開き、startWebLogicスクリプトがあるディレクトリに移動します。
たとえば、UNIXの場合、次のようになります。

user_projects/domains/bifoundation_domain/bin

7. WebLogic Serverを起動します。
UNIXで、次のコマンドを入力します。

./startWebLogic.sh

プロンプトが表示されたら、ユーザー名とパスワードを入力します。

WebLogic Serverが起動したら、次の手順に進みます。

8. Oracle WebLogic Server管理コンソールにログインします。
詳細は、第1.6.1項「Oracle WebLogic Server管理コンソールの使用」を参照してください。

9. 「ドメイン構造」領域で、「環境」→「サーバー」の順にクリックします。

10. 「サーバーのサマリー」ページで、「制御」タブを表示します。

11. 「bi_server1」を選択し、「起動」をクリックします。
クラスタを使用している場合は、複数のBIサーバー(bi_server1、bi_server2など)を選択します。

C.1.3 ユーザーのログイン認証が失敗する原因の特定

この項は、Oracle Business Intelligenceへのログイン時に認証が失敗する原因を特定するのに役立ちます。

図C-1および図C-2は原因と結果の図です。これらを使用して、ユーザーのログイン認証が失敗する原因として考えられる問題を特定できます。ユーザーのログイン認証が失敗する原因として考えられる問題を特定したら、第C.1.4項「ユーザーのログイン認証が失敗する問題の解決」で問題の解決方法を参照してください。

図C-1 ユーザーのログインが失敗する原因(その1)

図C-1は、ログインが失敗する原因を特定するのに役立ちます。図C-1を使用しても、ログインが失敗する原因を特定できない場合は、かわりに図C-2を使用します。

図C-1の説明は、次のとおりです。

- 認証プロバイダが正しく構成されていない。

- Oracle Business Intelligenceで認定されている正しい認証プロバイダがアイデンティティ・ストア用に構成されていることを確認します。

- ユーザーがOracle WebLogic Server管理コンソールに表示されていることを確認します。

- グループがOracle WebLogic Server管理コンソールに表示されていることを確認します。

- 適切な権限を持つユーザーがOracle WebLogic Server管理コンソールにログインできることを確認します。

- 認証プロバイダの順序および制御フラグが正しいことを確認します。

- 認証プロバイダが正しく構成されていない(二次的な問題)。

- 構成の変更後にWebLogic Serverが再起動されていることを確認します。

- WebLogic Serverが起動しない場合は、WebLogic管理ユーザーが正しくLDAPに移動されていることを確認します。

- 指定した属性(ユーザーのGUIDなど)がLDAPストアにあるものと一致することを確認します。

- 名前指定によるフィルタの問合せが正しいことを確認します。

- ユーザーおよびグループ・ベースDNの設定が正しいことを確認します。

- LDAP接続に使用するアカウントが十分な権限を持っていることを確認します。

- 1人のユーザーのみが影響を受ける。

- 正しい資格証明が使用されていることを確認します。

- ユーザー・アカウントがロックされていない、または失効していないことを確認します。

- 通信障害が発生する。

- アイデンティティ・ストアが使用可能であることを確認します。

- すべてのBIシステム・プロセスが実行中であることを確認します。

- すべてのJEEアプリケーションが実行中であることを確認します。

図C-2 ユーザーのログインが失敗する原因(その2)

図C-1を使用してもログインが失敗する原因を特定できない場合は、図C-2が別の原因の特定に役立ちます。ただし、図C-2を使用した後も、引き続きログインが失敗する原因を特定できない場合は、次の場所からOracleサポートに連絡してください。

https://support.oracle.com

図C-2の説明は、次のとおりです。

- BIシステム・ユーザーの認証が失敗する。

- BISystemユーザー・アカウントが存在し、正しいロールが割り当てられていることを確認します。

- BISystemユーザーが資格証明ストアと同期されていることを確認します。

- BISystemユーザー・アカウントがアイデンティティ・ストア内にあることを確認します。

- BIシステム・ユーザーの資格証明に対する変更のWebLogic組込みLDAPレプリケーションが失敗していないことを確認します。

- アイデンティティ・ストア・プロバイダ(OPSS)が正しく構成されていない。

- SQL認証プロバイダを使用している場合、アダプタが正しく構成されていることを確認します。

- ユーザー名またはGUIDに指定された属性が、WebLogic認証プロバイダのデフォルト値以外の値に設定されている場合、OPSSの構成が一致することを確認します。

- Oracle Business Intelligenceリリース11.1.1.5(またはそれ以降)で、次の内容を確認します。

- 仮想化がtrueに設定されている。

- 制御フラグがOracle Business Intelligenceリリース11.1.1.3と同様に設定されている(次の項目を参照)。

- Oracle Business Intelligenceリリース11.1.1.3で、(BIシステム・ユーザーのユーザー移入を参照する)認証プロバイダが、プロバイダのリストの先頭にある制御フラグであることを確認します。

- 構成の変更後にWebLogic Serverが再起動されることを確認します。

- Oracle Business Intelligenceリリース11.1.1.5(またはそれ以降)で、仮想化がtrueに設定されていて、アイデンティティ・ストアでSSLが要求される場合は、仮想化が正しく構成されている必要があります。詳細は、第5.4.6項「複数認証プロバイダ使用時のSSLの構成」を参照してください。

- Oracle Web Services Managerでエラーが発生する。

- データベースが、インストール時に作成されたMDS-OWSMスキーマに接続されることを確認します。

- OWSMでOWSMリソースへのアクセスに使用される、OracleSystemUserアカウントが動作していることを確認します。

C.1.4 ユーザーのログイン認証が失敗する問題の解決

この項では、ユーザーのログイン認証の失敗について、およびその問題の解決方法を説明します。この項の内容は次のとおりです。

- 第C.1.4.1項「Oracle Business Intelligenceに1人のユーザーがログインできない」

- 第C.1.4.2項「認証プロバイダが正しく構成されていないことが原因でOracle Business Intelligenceにユーザーがログインできない」

- 第C.1.4.3,項「Oracle Web Services Managerが動作していないときにOracle Business Intelligenceにユーザーがログインできない」

- 第C.1.4.4項「Oracle Business Intelligenceにユーザーがログインできない: BIシステム・ユーザーの認証が動作しているかどうか」

- 第C.1.4.5項「Oracle Business Intelligenceにユーザーがログインできない: 外部アイデンティティ・ストアが正しく構成されているかどうか」

- 第C.1.4.6項「ユーザーが任意のパスワードまたはパスワードなしでログインできる」

- 第C.1.4.7項「デフォルト認証プロバイダを削除した後にWebLogic Serverを起動できない」

C.1.4.1 Oracle Business Intelligenceに1人のユーザーがログインできない

この項には次のトピックが含まれます:

- 第C.1.4.1.1項「ユーザー・エラーの結果としてログインが失敗したかどうか」

- 第C.1.4.1.2項「アカウントがロックされているかどうか」

C.1.4.1.1 ユーザー・エラーの結果としてログインが失敗したかどうか

最初に確認することは、ユーザーがOracle Business Intelligenceにログインできない原因が、単純なエラーであるかどうかです。たとえば、ユーザーが正しくないパスワードを入力したことなどが考えられます。他のユーザーはOracle Business Intelligenceにログインできるが、1人のユーザーがログインできない場合は、ユーザーの資格証明を確認します。または、第C.1.4.1.2項を参照してください。

C.1.4.1.2 アカウントがロックされているかどうか

多くのLDAP認証プロバイダでは、ログインの試行回数が指定されたしきい値を超えた場合、ユーザー・アカウントがロックされます。たとえば、ログインの試行が3回失敗したら、自動攻撃を受けないようアカウントがロックされる場合があります。

ユーザーが繰り返しログインを試行した場合、正しくない資格証明の入力回数が、このメカニズムがトリガーされる回数に達した可能性があります。選択したアイデンティティ・ストアのドキュメントを参照し、ユーザー・アカウントのロックを解除する方法を確認します。たとえば、WebLogic組込みLDAPの使用時にロックされたユーザー・アカウントのロックを解除するには、Oracle Fusion Middleware Oracle WebLogic Server管理コンソール・オンライン・ヘルプのユーザー・アカウントのロック解除に関する項を参照してください。

C.1.4.2 認証プロバイダが正しく構成されていないことが原因でOracle Business Intelligenceにユーザーがログインできない

認証が失敗する最も一般的な原因は、WebLogic Serverで認証プロバイダが正しく構成されていないことです。内容は次のとおりです。

注意:

第3章「代替認証プロバイダの使用」に記載されている手順および概念を読み、それらを理解している必要があります。

- 第C.1.4.2.1項「アイデンティティ・ストア/LDAPサーバーに正しい認証プロバイダを指定したかどうか」

- 第C.1.4.2.2項「LDAPサーバーの認証プロバイダが正しく構成されているかどうか」

- 第C.1.4.2.3項「認証プロバイダの制御フラグが正しく設定され順序付けられているかどうか」

C.1.4.2.1 アイデンティティ・ストア/LDAPサーバーに正しい認証プロバイダを指定したかどうか

WebLogic Serverでは、組込みLDAP認証プロバイダに加えて、様々なサーバー固有の認証プロバイダが使用されます。その理由は、一部のLDAPサーバー製品には相違があり、汎用のLDAPサーバーではないため、組込みLDAP認証プロバイダがこれらのサーバー製品に対して問い合せるよう構成された場合、プロバイダが動作しない可能性があるためです。たとえば、汎用LDAPサーバーは、Active Directory (AD)がLDAPを完全に実装していることが明らかで、正常にADをLDAPサーバーとして多くのLDAP問合せツールに提供している場合でも、ADと連携して動作しません。使用しているLDAPサーバーを特定し、適切な認証プロバイダを構成します。

C.1.4.2.2 LDAPサーバーの認証プロバイダが正しく構成されているかどうか

プライマリ・アイデンティティ・ストアとして使用するLDAPサーバーの構成設定が正しく構成されていない場合は、ユーザーを正しく認証できません。いくつかの一般的なチェック項目は、次のとおりです。

- LDAP接続に使用するアカウント。
LDAP認証プロバイダに固有の構成で、LDAPサーバーへの接続に使用されるプリンシパルのDNを指定する必要があります。このアカウントが存在し、ユーザーまたはグループ・ベースDNに指定されたツリーからユーザーまたはグループ移入を取得する問合せを実行するのに十分な権限を持っている必要があります。制限付きのLDAP環境では、通常のユーザー・アカウントに付与される権限よりも上位の昇格した権限が必要になる場合があります。

- ユーザーおよびグループ・ベースDNが正しいことを確認します。
グループおよびユーザーは、どちらもユーザーまたはグループ・ベースDNによって指定されたツリー内で検索されます。指定されたツリーに、実際にユーザーまたはグループ移入が含まれていることを確認してください。

- 名前指定によるフィルタの問合せが正しいことを確認します。
グループおよびユーザーは、ベースDNに指定されたツリー内で見つかります。これには、「名前指定によるユーザー・フィルタ」および「名前指定によるグループ・フィルタ」に指定された問合せが使用されます。%uは、特定のユーザーに関する問合せ時(認証時も含まれます)に渡されるユーザーIDのプレースホルダとして使用され、%gは、特定のグループの参照時に渡されるグループ名のプレースホルダとして同様に使用されます。指定した問合せがディレクトリにとって構文的および論理的に正しいことを確認します。また、認証プロバイダの構成で指定した資格証明を使用して、それらの問合せをLDAPブラウザから実行できる(および予想どおりの結果が得られる)ことをテストします。

- 指定した属性がLDAPストアにあるものと一致することを確認します。
ユーザー、グループおよびGUIDの属性やオブジェクト・クラスがすべて、認証プロバイダの構成で指定されていることを確認します。認証プロバイダは実用的なデフォルト値で事前構成されますが、必ずしもそれらが使用中の値でないサイトも多くあります。(たとえば)ユーザー名の属性に指定された値が存在すること、およびその値が実際にサイト上のLDAPサーバーのユーザー名に使用されていることを確認する必要があります。

- WebLogic管理ユーザーがLDAPに移動されていて、WebLogicを起動できない。
WebLogic管理ユーザーを組込みLDAPから移動した場合やDefaultAuthenticatorを削除した(つまりWebLogic管理ユーザーのLDAP認証に依存する)場合、および認証プロバイダが正しく構成されていない場合、WebLogic Serverは起動しません。

- ユーザーがOracle WebLogic Server管理コンソールにログインできるかどうかを確認します。
引き続きOracle WebLogic Server管理コンソールにログインできると仮定し(また、WebLogicを起動できれば、サーバーの起動に使用した資格証明を使用してOracle WebLogic Server管理コンソールにログインできます)、いずれかのLDAPユーザーにWebLogicのグローバルAdminロールを割り当て、そのユーザーがOracle WebLogic Server管理コンソール(http://<biserver>:7001/console)にログインできるかどうかを確認します。Oracle WebLogic Server管理コンソールにログインできるがOracle Business Intelligenceにはログインできない場合、LDAP認証プロバイダの構成は正しくても、Oracle Business Intelligenceにはアクセスできない可能性があります。この場合、次の2つの内容を確認します。

- ユーザーが格納されたアイデンティティ・ストアは、アイデンティティ・ストアとしてOPSSに公開されない場合があります。認証プロバイダの順序および制御フラグに関する項を確認してください(第C.1.4.2.3項「認証プロバイダの制御フラグが正しく設定され順序付けされているかどうか」を参照)。

- ユーザーはLDAPに対して正しく認証されますが、BIシステム・ユーザーに問題があり、BI Security Serviceでユーザーを認証できません(第C.1.4.4項「ユーザーがOracle Business Intelligenceにログインできない: BIシステム・ユーザーの認証が動作しているかどうか」を参照)。

注意:

一時的にWebLogicグローバルAdminロールをユーザーに割り当て、このシナリオをテストする場合は、テストが完了した直後にこのロールを削除してください。これを行わなかった場合、1人(グループ名の一致によってロール条件を指定した場合は多数)のユーザーに、意図したよりも強力な権限が付与される可能性があります。

C.1.4.2.3 認証プロバイダの制御フラグが正しく設定され順序付けられているかどうか

プライマリ・アイデンティティ・ストアは、認証プロバイダのリストの先頭項目として設定されている必要があります(Oracle Business Intelligenceリリース11.1.1.5(またはそれ以降)では、仮想化がtrueに設定されている場合、この制限は適用されません)。Oracle Business Intelligenceでは、OPSSのユーザー・ロールAPIが使用されます。このAPIでは、ユーザーGUID、プロファイル情報、ロールを参照するときなど、認証プロバイダのリストの先頭にあるアイデンティティ・ストアのみが参照されます。これがこのシナリオの主な原因です。その結果、ユーザーはOracle WebLogic Server管理コンソールにログインできます(したがってログインの認証部分は成功します)が、Oracle Business Intelligenceにはログインできません(ユーザーが格納されたアイデンティティ・ストアがリストの先頭にないため)。

複数の認証プロバイダを構成する場合、通常はすべての制御フラグをSUFFICIENTに設定する必要があります。これにより、認証が成功するまで、各認証プロバイダに対して順に認証を試行できるようになります。認証が成功すると、それ以降の認証プロバイダに対しては認証が試行されません。すべての認証プロバイダで、提供された資格証明を認証できなかった場合、認証プロセス全体が失敗します。

注意:

インストール時に、DefaultAuthenticatorはREQUIREDに設定されます。別の認証プロバイダを構成し、DefaultAuthenticatorを保持する場合は、DefaultAuthenticatorをSUFFICIENTまたはOPTIONALに設定する必要があります。ここで概説した理由から、お薦めする設定はSUFFICIENTです。

C.1.4.3 Oracle Web Services Managerが動作していないときにOracle Business Intelligenceにユーザーがログインできない

Oracle Web Services Manager (OWSM)によってBI Security Serviceが保護されるため、OWSMが動作していない場合、どのプログラムもBI Security Serviceを呼び出すことができず、この問題が解決されるまで認証は成功しません。

OWSMが失敗する一般的な原因は、次のとおりです。

- 第C.1.4.3.1項「データベースに関する問題 - OWSMでポリシーを取得できない」
インストール時に作成されたMDS-OWSMスキーマへの接続に関する問題です。

- 第C.1.4.3.2項「OracleSystemUserに関する問題 - OWSMでポリシーを取得できない」
OWSMでOWSMリソースへのアクセスに使用されるOracleSystemUserアカウントに関する問題です。

BIシステム・ユーザーの認証が失敗する問題の詳細は、第C.1.4.4項「Oracle Business Intelligenceにユーザーがログインできない: BIシステム・ユーザーの認証が動作しているかどうか」を参照してください。

C.1.4.3.1 データベースに関する問題 - OWSMでポリシーを取得できない

OWSMでは、ポリシー定義を含むOWSMのメタデータが、MDSスキーマのOWSMサブセクションに格納されます。このメタデータへのアクセスには、インストール時に作成される、mds-owsmという接続プールが使用されます。スキーマへのアクセスに関する問題が発生した場合(たとえば、データベースが使用できない、正しくない資格証明がある、データベース・アカウントがロックされているなど)、Oracle Business Intelligenceの認証は失敗します。

管理対象サーバーの診断ログに、次のようなエラー・メッセージが記録されます。

[2011-06-28T14:59:27.903+01:00] [bi_server1] [ERROR] [] [oracle.wsm.policymanager.bean.util.PolicySetBuilder] [tid: RTD_Worker_2] [userId: <anonymous>] [ecid: de7dd0dc53f3d0ed:11d7f503:130d6771345:-8000-0000000000000003,0] [APP: OracleRTD#11.1.1] 無効な構成または非アクティブ状態のために\\\"t3://biserver:7001,biserver:9704\\\"でポリシー・マネージャへの接続を確立できないことが原因で、URI \\\"oracle/wss_username_token_client_policy\\\"により参照されるポリシーを取得できませんでした。

また、データ・ソースの接続プールを確立または作成できないことに関する複数のエラーが管理サーバーのログに記録されます。

この問題を解決するには、次の内容を確認する必要があります。

- MDS-OWSMデータ・ソースに指定したデータベース・スキーマが使用できるかどうか。

- 正しい資格証明を指定したかどうか。

- それらの資格証明を使用して標準のデータベース・ツール(SQL Plus、Jdeveloper DBツールなど)でスキーマにアクセスできるかどうか。

- mds-owsmデータ・ソースが正しく構成されているかどうか。

MDS-OWSMデータ・ソースをテストするには:

1. Oracle WebLogic Server管理コンソールにログインします。

2. 左ペインで「サービス」をクリックし、「データ・ソース」をクリックします。

3. 「構成」ページを表示し、「mds-owsm」をクリックします。

4. 「監視」タブを選択し、「テスト」ページを表示します。

5. サーバーを選択し、「データ・ソースのテスト」をクリックします。

MDS-OWSMデータ・ソースを構成するには:

1. Oracle WebLogic Server管理コンソールにログインし、「チェンジ・センター」で「ロックして編集」をクリックします。

2. 左ペインで「サービス」をクリックし、「データ・ソース」をクリックします。

3. 「構成」ページを表示し、「mds-owsm」をクリックします。

4. 「構成」タブを選択し、「接続プール」ページを表示します。

5. 適切な変更を構成します。

6. 「保存」をクリックして変更を保存します。

7. チェンジ・センターで、変更のアクティブ化をクリックします。

8. WebLogic ServerおよびOracle Business Intelligenceコンポーネントを再起動します。

C.1.4.3.2 OracleSystemUserに関する問題 - OWSMでポリシーを取得できない

OWSMでは、デフォルトでポリシーの取得にOracleSystemUserアカウントが使用されます。このアカウントが見つからず認証できない場合や、このアカウントに正しいWebLogicグローバル・ロールが割り当てられていない場合、処理は失敗します。

管理対象サーバーの診断ログに、次のようなログ・メッセージが記録されます。

[2011-06-28T14:59:27.903+01:00] [bi_server1] [ERROR] [] [oracle.wsm.policymanager.bean.util.PolicySetBuilder] [tid: RTD_Worker_2] [userId: <anonymous>] [ecid: de7dd0dc53f3d0ed:11d7f503:130d6771345:-8000-0000000000000003,0] [APP: OracleRTD#11.1.1] 無効な構成または非アクティブ状態のために\\\"t3://biserver:7001,biserver:9704\\\"でポリシー・マネージャへの接続を確立できないことが原因で、URI \\\"oracle/wss_username_token_client_policy\\\"により参照されるポリシーを取得できませんでした。[[

OWSMがOracleSystemRole WebLogicグローバル・ロールに含まれていないことが問題である場合、このエントリの後に、次のログ・エントリが記録されます。

java.rmi.AccessException: [EJB:010160]セキュリティ違反: ユーザー''OracleSystemUser''にはEJB type=<ejb>, application=wsm-pm, module=wsm-pmserver-wls.jar, ejb=DocumentManager, method=retrieveDocuments, methodInterface=Remote, signature={java.lang.String,java.util.Map}にアクセスするための許可がありません。

OracleSystemUserがアイデンティティ・ストアにあるOracleSystemGroupグループのメンバーであること、およびグループにWebLogicグローバル・ロールOracleSystemRoleが割り当てられていることを確認する必要があります。詳細は、第3.4.7.1項「唯一の認証プロバイダとしてのOracle Internet Directory LDAP認証の構成」の手順3～6を参照してください(これらの手順は、引き続き他のLDAPサーバーに適用されます)。

また、OracleSystemUserアカウントを認証できないか、このアカウントが存在しない(LDAPアイデンティティ・ストアに移行し、新しいOracleSystemUserアカウントを新しいアイデンティティ・ストアに作成することなくDefaultAuthenticatorを削除した場合など)ことが問題である場合、次のようなログ・エントリが記録されます。

原因: javax.security.auth.login.FailedLoginException: [Security:090304]ユーザーOracleSystemUserの認証が失敗しました。javax.security.auth.login.FailedLoginException: [Security:090302]認証が失敗しました。ユーザーOracleSystemUserが拒否されました

: weblogic.security.providers.authentication.LDAPAtnLoginModuleImpl.login(LDAPAtnLoginModuleImpl.java:261)

このエラー・メッセージは、次のようないくつかの異なる問題が原因で記録されます。

- DefaultAuthenticatorを削除し、そのかわりに使用している新しいアイデンティティ・ストアにOracleSystemUserというアカウントを作成していない。

- 新しいアイデンティティ・ストアの認証プロバイダを正しく構成していないことが原因で、OracleSystemUserアカウントが見つからない。

- LDAPサーバーでOracleSystemUserアカウントがなんらかの原因でロックされているか無効になっている。

考えられるそれぞれの問題についてシステムを確認し、必要に応じてシステムを再構成および再起動した後、再試行します。

C.1.4.4 Oracle Business Intelligenceにユーザーがログインできない: BIシステム・ユーザーの認証が動作しているかどうか

BIシステム・ユーザー・アカウント(デフォルトの名前はBISystemUserです)は、BI Security ServiceおよびOracle Business Intelligenceの認証機能全体において重要です。ユーザーがログイン時に提供した資格証明の確認がBIサーバーによって試行されるときに、BIシステム・ユーザー・アカウントによって、BIサーバーで実行されるBI Security Serviceへの呼び出しが認証されます。この呼び出しが失敗した場合、Oracle Business Intelligenceでは、優先メカニズムであるFusion Middlewareのセキュリティに対してユーザー・ログイン(つまり、WebLogicを通じて構成されたアイデンティティ・ストア内のユーザー)を認証できません。BIシステム・ユーザーの認証が失敗した場合、次のエラー・メッセージがBIサーバーのnqserver.logに記録されることがあります。

[2011-06-28T11:30:36.000+00:00] [OracleBIServerComponent] [ERROR:1] [] [] [ecid: c594c519d241c3b9:-2173cea0:130d2098159:-8000-00000000000019ba] [tid: 4734ba0] BI Security Serviceからのエラー・メッセージ: FailedAuthentication : セキュリティ・トークンを認証できません。

[2011-06-28T11:30:36.000+00:00] [OracleBIServerComponent] [ERROR:1] [] [] [ecid: c594c519d241c3b9:-2173cea0:130d2098159:-8000-00000000000019ba] [tid: 4734ba0] [nQSError: 43126] 認証に失敗しました: ユーザーまたはパスワードが無効です。

また、対応する次のようなエントリも管理対象サーバーの診断ログに記録されます。

[2011-06-27T11:06:46.698-07:00] [bi_server1] [NOTIFICATION] [] [oracle.bi.security] [tid: [ACTIVE].ExecuteThread: '0' for queue: 'weblogic.kernel.Default (self-tuning)'] [userId: BISystemUser] [ecid: 004dfIJ^08LATOB[2011-06-28T04:27:48.011-07:00] [bi_server1] [ERROR] [WSM-00008] [oracle.wsm.resources.security] [tid: [ACTIVE].ExecuteThread: '2' for queue: 'weblogic.kernel.Default (self-tuning)'] [userId: <anonymous>] [ecid: c594c519d241c3b9:-2173cea0:130d2098159:-8000-00000000000019a1,0:1:1:8:1] [WSM_POLICY_NAME: oracle/wss_username_token_service_policy] [APP: bimiddleware#11.1.1] Webサービス認証に失敗しました。[[

javax.security.auth.login.LoginException: [Security:090303]ユーザーBISystemUserの認証が失敗しました。weblogic.security.providers.authentication.LDAPAtnDelegateException: [Security:090295]予期しない例外が捕捉されました

: oracle.security.jps.internal.jaas.module.authentication.JpsUserAuthenticationLoginModule.login(JpsUserAuthenticationLoginModule.java:71)

このメッセージは、BIサーバーからBI Security Serviceへの正常な呼び出しがOWSMによって許可されなかったことを示しています。許可されなかった理由は、OWSMで(ログイン時のエンド・ユーザーではなく)BIサーバーによって提供された資格証明を有効なものとして認証できなかったためです。BIサーバーでは、oracle.bi.systemマップのsystem.userキーを参照することによって、資格証明ストアからこの呼び出しに使用する資格証明が取得されます。これらがOWSMによって認証される資格証明です。

次のリストは、BISystemUserアカウントでの失敗について考えられる理由を示しています。

- 第C.1.4.4.1項「BIシステム・ユーザー・アカウントが存在しない、正しいロールが割り当てられていない、または資格証明ストアと同期されていない」

- 外部LDAPストアを使用している理由で、DefaultAuthenticatorを削除し、新しいアイデンティティ・ストアにBIシステム・ユーザー・アカウントを作成しなかった。

- 資格証明ストアのsystem.userキーに指定したアカウントを変更したが、新しいアカウントに正しいロールが割り当てられていない。

- 指定したアカウントのパスワードを変更したが、資格証明ストアを新しい資格証明で更新していない(またはその後システムを再起動していない)。

- 第C.1.4.4.2項「基礎となるアイデンティティ・ストアのBIシステム・ユーザー・アカウントに関する問題」
BIシステム・ユーザー・アカウントとして指定したアカウントがロックされているか、パスワードの期限が切れている(基礎となるアイデンティティ・ストアのアカウントに問題がある)。

- 第C.1.4.4.3項「BIシステム・ユーザーの資格証明に対する変更の組込みWebLogic LDAPレプリケーションが失敗した」
指定したアカウントのパスワードを変更したことが原因で、管理対象サーバーへのレプリケーションが失敗した(これはDefaultAuthenticatorをWebLogic組込みLDAPで使用した場合のみ該当します)。

C.1.4.4.1 BIシステム・ユーザー・アカウントが存在しない、正しいロールが割り当てられていない、または資格証明ストアと同期されていない

BISystemUserアカウントに関するこれらの問題を解決するには、第3.7項「新しい信頼できるユーザー(BISystemUser)の構成」の手順に従います。

指定したアカウントにBISystemアプリケーション・ロールおよびWebLogicのグローバルAdminロールが割り当てられ、資格証明ストアのsystem.userキーが新しいアカウント名とパスワードで更新される必要があります。

これらの手順を完了したら、すべてのOracle Business IntelligenceコンポーネントとWebLogic管理対象サーバーおよび管理サーバーを再起動し、Oracle Business IntelligenceコンポーネントをBI Security Serviceと同期します。これを行わなかった場合、問題が解決されない可能性があります。

C.1.4.4.2 基礎となるアイデンティティ・ストアのBIシステム・ユーザー・アカウントに関する問題

認証の試行が複数回失敗した後で、ユーザー・アカウントをロックするよう一部のLDAPサーバーを構成することは珍しくありません。BI Security Serviceとの通信を試行する際に、BIサーバーによって自動的にBIシステム・ユーザーの資格証明が提供されます。パスワードの変更時に資格証明ストアの再同期やサービスの再起動を行わなかった場合、BIサーバーによる認証の試行が複数回失敗し、意図しないアカウントのロックが発生することがあります。

同様に、一部のサーバーは、資格証明の期限が一定期間後に切れ、リセットされることを要求するよう構成されます。これもBIシステム・ユーザーの認証が失敗する原因となります。

アカウントが誤ってロックされたり期限が切れたりすることを防ぐために、LDAPサーバーのポリシーを確認します。

C.1.4.4.3 BIシステム・ユーザーの資格証明に対する変更の組込みWebLogic LDAPレプリケーションが失敗した

このシナリオが発生することはほとんどなく、システムでDefaultAuthenticatorを通じてWebLogic組込みLDAPサーバーが使用されたときのみ発生します。このシナリオを理解するには、BIシステム・ユーザーのパスワードの変更(Oracle WebLogic Server管理コンソールを使用します)が、まず管理サーバーで行われ、その後管理対象サーバーにレプリケートされることを理解する必要があります。BI Security Serviceでは、管理対象サーバーにレプリケートされたコピーに対して認証が行われます。ただし、管理対象サーバーへのレプリケーションが失敗したことに気付かず、資格証明ストアの資格証明を変更し、新しいパスワードと同期した場合、この2つは一致しなくなります。この状況が発生した場合、次のようなログ・エントリが管理サーバーのログに作成されます。

####<2011/06/09 17:18:17 GMT> <Error> <EmbeddedLDAP> <bisrv01> <AdminServer> <VDE Replication Thread> <<anonymous>> <> <3425d20f6361741a:-2e8537d2:130736e27a9:-8000-000000000000000f> <1307607517792> <BEA-000000> <承諾'bi_server1': 変更番号1698の送信中にエラーが発生しました - 無効な名前: cn=",ou=groups,ou=myrealm,dc=bifoundation_domain。

この問題が発生しているように見えるが、該当するエントリが見つからない場合、最も可能性が高いのは、資格証明ストアの資格証明が純粋にアイデンティティ・ストアのものと一致していないことです。両方の場所に正しく変更が適用され、変更後にすべてのサービスが再起動されたことを再度確認します。

C.1.4.5 Oracle Business Intelligenceにユーザーがログインできない: 外部アイデンティティ・ストアが正しく構成されているかどうか

外部アイデンティティ・ストアをプライマリ・ユーザー移入として構成した場合は、プロバイダ構成の次の内容を確認します。

- プライマリ・ユーザー移入を参照する認証プロバイダは、プロバイダの中で最初に設定する必要があります(リリース11.1.1.5(またはそれ以降)および仮想化がtrueに設定されている場合は除きます)。

- DefaultAuthenticatorが引き続き有効になっている場合は、DefaultAuthenticatorと、プライマリ・ユーザー移入を参照する認証プロバイダの両方がSUFFICIENTに設定されていることを確認します。

- username属性をデフォルト値以外の値に設定した場合は、第3.5項「アイデンティティ・ストアのユーザーおよびグループ名属性の構成」の手順に従います。たとえば、OID認証プロバイダでは、UserName属性がcnであることを想定してデフォルト値が設定されますが、実際には多くの組織で、かわりに属性uidが使用されます。この場合、手順に従い、Fusion Middleware Controlのアイデンティティ・ストア構成で、username.attrとuser.login.attrの両方をuidに設定します。

- 認証プロバイダ構成のGUID属性をリセットした後、次のエラー・メッセージが管理対象サーバーのコンソールに表示される(管理対象サーバーのログ・ディレクトリにあるbi_server1.outファイルにも記録される場合があります)場合は、第3.6項「アイデンティティ・ストアのGUID属性の構成」の手順に従います。
java.security.PrivilegedActionException: oracle.bi.security.service.SecurityServiceException: SecurityService::authenticateUserWithLanguage - 'ldapuser'は認証されましたが、無効なGUIDが含まれています。 原因: oracle.bi.security.service.SecurityServiceException: SecurityService::authenticateUserWithLanguage - 'ldapuser'は認証されましたが、無効なGUIDが含まれています。 原因: oracle.bi.security.service.InvalidUserGUIDException: ユーザー'ldapuser'には無効なGUID値'null'が含まれています

C.1.4.6 ユーザーが任意のパスワードまたはパスワードなしでログインできる

Oracle Business Intelligenceリリース10gでは、メタデータ・リポジトリを通じて認証が管理され、外部データベース・テーブルに対して認証を行う必要があるユーザーは、初期化ブロックの設定を使用し、その操作を実行できます。この機能は引き続きOracle Business Intelligence 11gでも提供され、残念ながら、発行された問合せによってユーザーのパスワードが確認されないよう、これらのブロックを構成できます。たとえば、次の問合せ

SELECT USER_ID FROM USERS WHERE USER_ID = ':USER'

ユーザーIDのみが確認され、パスワードが正しいかどうかは確認されません。そのように初期化ブロックが構成されているシナリオでは、ユーザーが任意のパスワード(またはパスワードなし)でログインできる場合があります。

このシナリオによって、一貫性がないように見えるなんらかの動作が発生することもあります。たとえば、ユーザーAおよびBがプライマリ・アイデンティティ・ストア(Oracle Internet Directory)内に存在するが、この項で説明した初期化ブロックによって参照されるデータベース内にも、ユーザーBが存在する場合が考えられます。ユーザーAおよびBが正しくないパスワードを使用してログインしようとすると、これらの両方がOIDに対する認証に失敗します。ただし、BIサーバーでも各ユーザーの初期化ブロックの実行が試行されます。ユーザーAは失敗しますが、ユーザーBのログインは成功します。この理由は、ユーザーBのユーザー名がUSERS表のUSER_ID列にあり、初期化ブロックの問合せが、ユーザーのパスワードを確認しないにもかかわらず成功するためです。このようなシナリオは回避する必要があるため、このように動作する認証初期化ブロックを見つけた場合は、そのブロックを削除または変更する必要があります。

C.1.4.7 デフォルト認証プロバイダを削除した後にWebLogic Serverを起動できない

WebLogic Serverを起動するには、(Oracle Business Intelligenceではなく)WebLogicのグローバルAdminロールに関連付けられた管理ユーザーの資格証明を使用する必要があります。Oracle Business Intelligenceのインストール時、インストーラによって管理ユーザー名とパスワードの入力が求められます。これらのユーザー名とパスワードは、組込みLDAPで作成され、DefaultAuthenticatorを通じてアクセスされます。組込みLDAPではなく外部LDAPアイデンティティ・ストアを使用するよう変更する必要がある場合は、外部ストアに新しいWebLogic管理ユーザーを作成し、そのユーザーにWebLogicのグローバルAdminロールが割り当てられていることを確認してから、DefaultAuthenticatorを削除します。

ただし、これらの手順を実行した後で、WebLogic Serverの起動に使用するユーザーが格納されたアイデンティティ・ストアの認証プロバイダを正しく構成していない場合は、サーバーを起動できません。これを回避するには、DefaultAuthenticatorを削除する前に存在していた構成設定に戻します。

WebLogic BIドメインのドメイン・ホームは、(インストール時に別の場所を明示的に要求していないかぎり)次の場所にあります。

<MW_HOME>/user_projects/domains/bifoundation_domain/

このディレクトリには、すべての認証プロバイダなど、ドメイン全体の構成ファイルを含む構成ディレクトリが格納されます。構成設定を更新すると、メイン構成ファイルconfig.xmlのバックアップが作成されます。バックアップ・ファイルの名前は、backup_config.xmlから始まり、その後のリビジョンごとに番号が付けられます(backup_config7.xmlなど)。

問題が発生した場合に備えて、現在のconfig.xmlおよび最新のbackup_config XMLファイルをコピーしてください。構成をリストアするには、現在のconfig.xmlファイルを最新のbackup_config XMLファイルに置き換え、WebLogic ServerおよびすべてのOracle Business Intelligenceコンポーネントを再起動します。WebLogic Serverの再起動時に、DefaultAuthenticatorはリストアされます。

C.2 アイデンティティ・ストアとの非一貫性の解決

リポジトリ、Oracle BIプレゼンテーション・カタログ、アイデンティティ・ストアの間には非一貫性の問題が数多く生じることがあります。次の各項では、これらが発生することのある通常の過程とその非一貫性の解決方法について説明します。

C.2.1 アイデンティティ・ストアからユーザーが削除される

動作

アイデンティティ・ストアからユーザーが削除されると、そのユーザーはOracle Business Intelligenceにログインできなくなります。ただし、削除されたユーザーへの参照は、管理者がそれらを削除するまでリポジトリ内に残ります。

原因

削除されたユーザーへの参照は引き続きリポジトリ内に残りますが、そのユーザーはOracle Business Intelligenceにログインできません。この動作により、ユーザーが不注意で削除され、アイデンティティ・ストアに再度作成された場合に、ユーザーのアクセス制御ルールを再入力する必要はありません。

処置

管理者は、オンライン・モードでOracle BI管理ツールの整合性チェッカを実行して、非一貫性を特定できます。

C.2.2 アイデンティティ・ストアでユーザーの名前が変更される

動作

アイデンティティ・ストアでユーザーの名前が変更され、その後、そのユーザーが新しい名前でリポジトリにログインできません。

原因

これは、元の名前によるユーザーへの参照がリポジトリ内に残っている場合に発生することがあります。

処置

管理者は、BIサーバーを再起動するか、またはOracle BI管理ツールの整合性チェッカを実行してリポジトリを更新し、新しい名前によるユーザーへの参照を反映する必要があります。これが解決されると、Oracle BI Presentation Servicesは、このユーザーの次回ログイン時に新しいユーザー名を参照するようにOracle BI Presentation Catalogを更新します。

C.2.3 アイデンティティ・ストアでユーザー名が再利用される

動作

アイデンティティ・ストアで以前に使用されたユーザー名と同一のユーザー名が追加された場合に、同じ名前の新しいユーザーがログインできません。

原因

これは、ユーザー名への参照がリポジトリに存在する場合に発生することがあります。

処置

管理者は、Oracle BI管理ツールで整合性チェッカを実行するか、または新しいユーザーのGUIDを使用するように既存のユーザー参照を変更することで、リポジトリに含まれているユーザー名への既存の参照を削除する必要があります。新しいユーザーが、再利用された名前でログインすると、Oracle BI Presentation Catalog内にそのユーザー用の新しいホーム・ディレクトリが作成されます。

C.3 ポリシー・ストアとの非一貫性の解決

Oracle BI Presentation Catalogとポリシー・ストアの間には、非一貫性の問題が数多く生じることがあります。次の各項では、これらが発生することのある通常の過程とその非一貫性の解決方法について説明します。

C.3.1 ポリシー・ストアからアプリケーション・ロールが削除される

動作

ポリシー・ストアからアプリケーション・ロールが削除された後、オフライン・モードで操作したときに、そのロール名が引き続きOracle BI管理ツールに表示されます。ただし、ロール名はプレゼンテーション・サービスに表示されなくなり、ユーザーには、削除されたロールに関連付けられた権限が付与されません。

原因

削除されたロール名への参照がリポジトリ内に残っていると、オフライン・モードで操作したときにロール名が管理ツールに表示されます。

処置

管理者は、オンライン・モードでOracle BI管理ツールの整合性チェッカを実行し、削除されたアプリケーション・ロール名に対するリポジトリ内の参照を削除します。

C.3.2 ポリシー・ストアでアプリケーション・ロールの名前が変更される

動作

ポリシー・ストアでアプリケーション・ロールの名前が変更された後、新しい名前がオフライン・モードの管理ツールに表示されません。ただし、新しい名前は、プレゼンテーション・サービスと管理ツールのリストにただちに表示されます。ユーザーには、引き続き、ロールによって付与されている権限が表示されます。

原因

元のロール名への参照がリポジトリ内に残っていると、オフライン・モードで操作したときにロール名が管理ツールに表示されます。

処置

管理者はBIサーバーを再起動するか、管理ツールの整合性チェッカを実行し、リポジトリを更新して新しいロール名を反映します。

C.3.3 ポリシー・ストアでアプリケーション・ロールの名前が再利用される

動作

以前のアプリケーション・ロール用に使用されていた名前を再利用して、ポリシー・ストアにアプリケーション・ロールが追加されます。ユーザーは、元のロールによって付与された権限に応じてOracle Business Intelligenceのリソースにアクセスすることはできず、新しいロールによって提供される権限は付与されません。

原因

元のロールと同じ名前の新しいロールとの間で、名前の競合を解決する必要があります。

処置

管理者は、元のロールへの参照をリポジトリから削除するか、新しいGUIDを使用するようにリポジトリの参照を更新することで、命名の競合を解決します。

C.3.4 オフライン・モードでリポジトリにアプリケーション・ロールの参照が追加される

動作

アプリケーション・ロールのGUIDが空白です。これは、オフライン・モードでアプリケーション・ロールの参照がリポジトリに追加された後に生じることがあります。

原因

オフライン・モードの管理ツールにはポリシー・ストアへのアクセス権がなく、アプリケーション・ロールへの参照がリポジトリに追加されたときに、GUIDに移入できません。

処置

起動後、BIサーバーは、アプリケーション・ロール参照の空白のGUIDに実際のGUIDを移入します。

C.4 SSL通信問題の解決

動作

通信エラー。プロセス(クライアント)が別のプロセス(サーバー)と通信できません。

処置

SSL通信問題が存在すると、通常はクライアントが通信エラーを表示します。エラーには「client refused」(クライアントが拒否されました)とだけ示され、それ以外の情報は示されません。サーバーのログ・ファイルで、対応する障害エラー・メッセージを調べてください。このログ・ファイルには通常、問題の詳細が記述されています。

動作

BIDomain MBean (oracle.biee.admin:type=BIDomain, group=Service)を使用してコミット操作を実行した後、次のエラー・メッセージが表示されます。

SEVERE: Element Type: DOMAIN, Element Id: null, Operation Result: VALIDATION_FAILED, Detail Message: SSL must be enabled on AdminServer before enabling on BI system; not set on server: AdminServer

処置

このメッセージは、Oracle WebLogic Server管理対象サーバーで、前提条件にもなっているSSLの有効化が行われていないことを示しています。詳細は、第5.3.3項「HTTPSプロトコルを使用するためのWebLogicの手動構成」と第5.3.4.3項「SSL構成変更のコミット」を参照してください。

C.5 BIシステム・ユーザーの資格証明に関する問題の解決

有効なユーザー名とパスワードを使用して、ログインできない場合があります。たとえば、BISystemUserの資格証明が同期されない場合、例C-1のようなエラー・メッセージが表示されます。

例C-1 BISystemUserの資格証明が同期されないときのbifoundation_domain.logの出力例

####<DATE> <Error> <oracle.wsm.resources.enforcement> <Machine_Name> <bi_server1> <[ACTIVE] ExecuteThread: '2' for queue: 'weblogic.kernel.Default (self-tuning)'> <<anonymous>> <> <> <1273244079442> <WSM-07607> <Failure in execution of assertion {http://schemas.oracle.com/ws/2006/01/securitypolicy}wss-username-token executor class oracle.wsm.security.policy.scenario.executor.WssUsernameTokenScenarioExecutor.>
####<DATE> <Error> <oracle.wsm.resources.enforcement> <Machine_Name> <bi_server1> <[ACTIVE] ExecuteThread: '2' for queue: 'weblogic.kernel.Default (self-tuning)'> <<anonymous>> <> <> <1273244079442> <WSM-07602> <Failure in WS-Policy Execution due to exception.>
####<07-might-2010 15:54:39 o'clock BST> <Error> <oracle.wsm.resources.enforcement> <ukp79330> <bi_server1> <[ACTIVE] ExecuteThread: '2' for queue: 'weblogic.kernel.Default (self-tuning)'> <<anonymous>> <> <> <1273244079442> <WSM-07501> <Failure in Oracle WSM Agent processRequest, category=security, function=agent.function.service, application=bimiddleware#11.1.1.2.0, composite=null, modelObj=SecurityService, policy=oracle/wss_username_token_service_policy, policyVersion=null, assertionName={http://schemas.oracle.com/ws/2006/01/securitypolicy}wss-username-token.>
####<DATE> <Error> <oracle.wsm.agent.handler.wls.WSMAgentHook> <Machine_Name> <bi_server1> <[ACTIVE] ExecuteThread: '2' for queue: 'weblogic.kernel.Default (self-tuning)'> <<anonymous>> <> <> <1273244079442> <BEA-000000> <WSMAgentHook: An Exception is thrown: FailedAuthentication : The security token cannot be authenticated.>
####<DATE> <Error> <oracle.wsm.resources.security> <Machine_Name> <bi_server1> <[ACTIVE] ExecuteThread: '5' for queue: 'weblogic.kernel.Default (self-tuning)'> <<anonymous>> <> <> <1273244091113> <WSM-00008> <Web service authentication failed.>
####<DATE> <Error> <oracle.wsm.resources.security> <Machine_Name> <bi_server1> <[ACTIVE] ExecuteThread: '5' for queue: 'weblogic.kernel.Default (self-tuning)'> <<anonymous>> <> <> <1273244091113> <WSM-00006> <Error in receiving the request: oracle.wsm.security.SecurityException: WSM-00008 : Web service authentication failed

C.6 カスタムSSO環境の問題の解決

カスタムSSO環境を設定する際に問題が発生する場合があります。たとえば、Windowsネイティブ認証とActive DirectoryでSSOを設定する場合やSiteMinderでSSOを設定する場合などがあります。

詳細は、次のMy Oracle Supportの記事ID 1287479.1および記事ID 1274953.1を参照してください。

https://support.oracle.com

C.7 SSOを使用したRSSフィードの認証の解決

Oracle BIのRSSフィードを読み取ろうとすると、SSOを使用したRSSリーダーの認証にトラブルが発生する場合があります。これは、Oracle SSOがそのRSSリーダーのリクエストをインターセプトする方法が原因です。この場合、Oracleはフィード・リーダー・アプリケーションを制御できません。ただし、SSOがサポート可能なシナリオが2つあります。

- FirefoxのWizz RSSのようなブラウザベースのRSSリーダーを使用し、Firefoxを使用して、フィードにアクセスする前にSSOにログインします。

- Internet Explorerを使用するRSSリーダーでWindowsの統合認証を使用します。
FirefoxはWindows認証をサポートできるため、この場合でも使用可能です。

環境のデプロイメント戦略を検証する必要があります。

D ダッシュボードと分析のセキュリティの管理

この付録では、ダッシュボードと分析に対して、ユーザーが次のアクセス権のみを持つようなセキュリティの管理方法について説明します。

- Oracle BIプレゼンテーション・カタログ内で自分に該当するオブジェクトへのアクセス

- 自分に該当する機能とタスクへのアクセス

- 自分に該当する保存済カスタマイズへのアクセス

この付録には次の項が含まれます:

- 第D.1項「Oracle BIプレゼンテーション・サービスのユーザーのセキュリティ管理」

- 第D.2項「Oracle BIプレゼンテーション・サービスの管理ページの使用」

- 第D.3項「Oracle BIプレゼンテーション・サービスの権限の継承」

- 第D.4項「ユーザーへの共有ダッシュボードの提供」

- 第D.5項「ダッシュボードに保存されたカスタマイズ・オプションへのアクセス権の制御」

- 第D.6項「他のユーザーの代理実行の有効化」

D.1 Oracle BIプレゼンテーション・サービスのユーザーのセキュリティ管理

システム管理者は、認可されたユーザーのみがシステムにアクセスして適切な操作を実行できるようにするために、すべての機能(管理機能を含む)を確実に保護するようにビジネス・インテリジェンス・システムを構成する必要があります。また、管理者は、中間層の通信をすべて保護するようにシステムを構成できる必要があります。

この概要の項の内容は次のとおりです。

- 第D.1.1項「Oracle BIプレゼンテーション・サービスのセキュリティを設定する場所」

- 第D.1.2項「Oracle BIプレゼンテーション・サービスのセキュリティの目標」

- 第D.1.3項「ユーザーへの権限の割当て方法」

D.1.1 Oracle BIプレゼンテーション・サービスのセキュリティを設定する場所

プレゼンテーション・サービスのユーザーに影響するセキュリティの設定は、次のOracle Business Intelligenceコンポーネントで実行します。

- Oracle BI管理ツール — 次のタスクを実行できます。

- ビジネス・モデル、表、列およびサブジェクト・エリアに対する権限の設定

- ユーザーごとのデータベース・アクセスの指定

- ユーザーがアクセス可能なデータを制限するためのフィルタの指定

- 認証オプションの設定

詳細は、『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionメタデータ・リポジトリ作成者ガイド』を参照してください。

- Oracle BIプレゼンテーション・サービス管理 — ビューの編集、エージェントやプロンプトの作成などの機能にアクセスするための権限をユーザーに設定できます。

- Oracle BIプレゼンテーション・サービス — Oracle BIプレゼンテーション・カタログのオブジェクトに対する権限を割り当てることができます。
以前のリリースでは、プレゼンテーション・サービスの管理ページでオブジェクトに対する権限を割り当てることができました。このリリースでは、カタログ・マネージャ、またはプレゼンテーション・サービスの「カタログ」ページで権限を設定します。プレゼンテーション・サービスでの権限の割当て方法の詳細は、『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』を参照してください。

- カタログ・マネージャ — Oracle BIプレゼンテーション・カタログのオブジェクトに対する権限を設定できます。カタログ・マネージャの詳細は、『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のOracle BIプレゼンテーション・カタログの構成と管理に関する項を参照してください。

D.1.2 Oracle BIプレゼンテーション・サービスのセキュリティの目標

プレゼンテーション・サービスでセキュリティを保持する場合は、次の点を保証する必要があります。

- プレゼンテーション・サービスにサインインしてアクセスできるのは、適切なユーザーのみです。BIサーバーを通じて、ユーザーにサインイン権限を割り当てて認証する必要があります。
認証は、ユーザー名とパスワードを使用して、ログオンしている人物を識別するプロセスです。その後、認証されたユーザーには、システム(この場合はプレゼンテーション・サービス)にアクセスするための適切な認可が与えられます。プレゼンテーション・サービスには専用の認証システムはなく、BIサーバーから継承した認証システムに依存しています。

プレゼンテーション・サービスにサインインしているすべてのユーザーに、AuthenticatedUserロールと、Fusion Middleware Controlで割り当てられたロールが付与されます。

認証の詳細は、第1.3項「認証について」を参照してください。

- ユーザーは、自分に該当するオブジェクトにのみアクセスできます。『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド.』で説明されているとおり、アクセス制御はパーミッションの形式で適用します。

- ユーザーは、自分に該当する機能にアクセスできます。ユーザー権限は権限の形式で適用します。たとえば、権限には、「システム全体の列書式の編集」や「エージェントの作成」などがあります。
ユーザーは特定の権限を付与されるか、または拒否されます。これらの対応付けは、第D.2.3項「プレゼンテーション・サービスの権限の管理」で説明されているとおり、権限割当て表で作成されます。

Oracle Business Intelligenceは、Webサーバーでシングル・サインオン機能を使用するように構成できます。プレゼンテーション・サービスは、エンド・ユーザーに関する情報を取得するときにこの機能を使用できます。シングル・サインオンの詳細は、第4章「SSO認証の有効化」を参照してください。

D.1.3 ユーザーへの権限の割当て方法

プレゼンテーション・サービスで権限を割り当てる場合は、次のいずれかの方法で割り当てることができます。

- アプリケーション・ロールに: これが、推奨される権限の割当て方法です。アプリケーション・ロールによって、ユーザーとその割当ての保守が簡単になります。アプリケーション・ロールでは、システムのアイデンティティ・ストアにそのロールを持つユーザーまたはグループに付与されるパーミッションのセットが定義されます。アプリケーション・ロールは、特定の条件に応じて割り当てられます。このため、アプリケーション・ロールは、認証が発生した時点の条件に基づいて動的に付与されます。
アプリケーション・ロールの詳細は、第1.4.1項「アプリケーション・ロールについて」を参照してください。

- 個々のユーザーに: パーミッションと権限を特定のユーザーに付与できますが、そのような割当ての保守は難しいため、この方法は推奨されません。

- カタログ・グループに: このアプローチは、以前のリリースとの下位互換性を保つためにのみ用意されています。
カタログ・グループの詳細は、第D.2.2項「カタログ・グループの使用」を参照してください。

D.2 Oracle BIプレゼンテーション・サービスの管理ページの使用

Oracle BIプレゼンテーション・サービスの管理ページを使用して、次の各項で説明されるタスクを実行できます。

- 第D.2.1項 「管理ページについて」

- 第D.2.2項「カタログ・グループの使用」

- 第D.2.3項「プレゼンテーション・サービスの権限の管理」

- 第D.2.4項「プレゼンテーション・サービスでのセッションの管理」

D.2.1 管理ページについて

メインの管理ページにはリンクが含まれていて、そこから、プレゼンテーション・サービスでユーザーに関連付けられた機能など、様々な機能を実行するための他の管理ページを表示できます。右上隅の「ヘルプ」ボタンをクリックすると、これらのすべてのページに関する情報を取得できます。

注意:

複数のユーザーが管理ページへのアクセス権を持っている場合は、他のユーザーの変更を上書きしてしまう可能性があるため注意してください。UserAとUserBの両方がプレゼンテーション・サービス管理の「権限の管理」ページにアクセスして変更しているとします。ユーザーBが権限を編集している間にユーザーAが同じ権限の更新を保存した場合、ユーザーBの変更内容は、ユーザーAが保存した変更内容によって上書きされてしまいます。

D.2.2 カタログ・グループの使用

以前のリリースでは、カタログ・グループが、ユーザーを編成するために使用されていました。カタログ・グループのメンバーシップは、明示的割当てと継承のいずれかによってユーザーに関連付けられた権限を判別するために使用されました。このリリースでは、カタログ・グループは、次の特性を備えています。

- カタログ・グループと呼ばれる

- ユーザー、アプリケーション・ロールまたはその他のカタログ・グループを含めることができる

- 以前のグループとの互換性を維持する目的で、プレゼンテーション・サービスにのみ存在する

- 専用のパスワードはなくなった

カタログ・グループは引き続き使用できますが、ユーザーを編成するには、カタログ・グループではなくアプリケーション・ロールの使用に移行することをお薦めします。

プレゼンテーション・サービス管理者は、カタログ・グループの名前として、Oracle BIプレゼンテーション・サービスにログインするために使用されたユーザーIDとは異なる名前を使用する必要があります。ユーザーIDとカタログ・グループが同じ名前の場合、Oracle BIプレゼンテーション・サービスにログインしようとすると、無効なアカウントであることを示すメッセージを受け取ります。

プレゼンテーション・サービスの管理ページで、次の各項で説明されるタスクを実行できます。

- 第D.2.2.1項「カタログ・グループの作成」

- 第D.2.2.2項「カタログ・グループの削除」

- 第D.2.2.3項「カタログ・グループの編集」

D.2.2.1 カタログ・グループの作成

カタログ・グループを作成するには:

1. プレゼンテーション・サービスの「ホーム」ページで「管理」を選択します。

2. 「カタログ・グループの管理」リンクをクリックします。

3. 「新規カタログ・グループの作成」をクリックします。

4. 「グループの追加」ダイアログで、グループの名前を入力します。

5. シャトル制御を使用して、このグループに含めるカタログ・グループ、ユーザーおよびアプリケーション・ロールを選択します。

ヒント:

グループの継承と維持が複雑にならないようにするため、カタログ・グループにはアプリケーション・ロールを含めないことをお薦めします。特に、AuthenticatedUserロールは、作成した他のカタログ・グループに追加しないでください。これにより、ユーザーまたは認証されたユーザーが意図せずに別のカタログ・グループから権限を継承できないようにすることで、目的のカタログ・グループ(およびユーザー)のみが、指定した権限を持つようになります。

6. 「OK」をクリックします。

D.2.2.2 カタログ・グループの削除

カタログ・グループを削除するには:

1. プレゼンテーション・サービスの「ホーム」ページで「管理」を選択します。

2. 「カタログ・グループの管理」リンクをクリックします。

3. 「カタログ・グループの管理」ページで、削除するグループを1つ以上選択します。
目的のグループを見つけるには、「名前」フィールドにテキストを入力し、「検索」をクリックします。

4. 「選択したグループの削除」をクリックします。

5. 「OK」をクリックして、削除を確定します。

D.2.2.3 カタログ・グループの編集

カタログ・グループを編集するには:

1. プレゼンテーション・サービスの「ホーム」ページで「管理」を選択します。

2. 「カタログ・グループの管理」リンクをクリックします。

3. 「カタログ・グループの管理」ページで編集するグループを選択します。
目的のグループを見つけるには、「名前」フィールドにテキストを入力し、「検索」をクリックします。

「他のグループ」ボタンをクリックすると、次の25個のグループがリストに表示されます。

4. 「グループの編集」ダイアログで、名前の変更、またはアプリケーション・ロール、カタログ・グループおよびユーザーの追加や削除を行います。

5. 「OK」をクリックします。

D.2.3 プレゼンテーション・サービスの権限の管理

この項では、プレゼンテーション・サービスの権限について説明します。内容は次のとおりです。

- 第D.2.3.1項「プレゼンテーション・サービスの権限について」

- 第D.2.3.2項「アプリケーション・ロールに対するプレゼンテーション・サービスの権限の設定」

- 第D.2.3.3項「プレゼンテーション・サービスのデフォルトの権限割当て」

D.2.3.1 プレゼンテーション・サービスの権限について

プレゼンテーション・サービスの権限は、プレゼンテーション・サービスの機能にアクセスするためにユーザーが保持する権利を制御します。権限は、権限割当て表を使用して、特定のアプリケーション・ロール、個々のユーザーおよびカタログ・グループに対して付与または拒否されます。

パーミッションと同様に、権限は、明示的に設定されるか、またはロールやグループ・メンバーシップを通じて継承されます。権限の明示的な拒否は、付与され継承されたいかなる権限より優先されます。たとえば、列計算式を編集する権限へのアクセスを明示的に拒否されたユーザーが、その権限を継承しているアプリケーション・ロールのメンバーである場合、そのユーザーは列計算式を編集できません。

最も一般的に権限が付与されるロールは、BIAuthorまたはBIConsumerです。これにより、ユーザーはプレゼンテーション・サービスの共通の機能にアクセスできます。引き続き、カタログ・グループにも権限を付与できますが、アプリケーション・ロールへの付与に切り替えることをお薦めします。

D.2.3.2 アプリケーション・ロールに対するプレゼンテーション・サービスの権限の設定

プレゼンテーション・サービス管理の「権限の管理」ページから、プレゼンテーション・サービスの権限を、アプリケーション・ロール、個々のユーザーおよびカタログ・グループに対して設定できます。

詳細は、第2.6.3項「アプリケーション・ロールに対するPresentation Servicesの権限の設定」を参照してください。

D.2.3.3 プレゼンテーション・サービスのデフォルトの権限割当て

表D-1には、管理可能な権限と、デフォルトでその権限へのアクセス権が付与されているアプリケーション・ロールが一覧表示されています。

これらの権限は、Oracle Business Intelligenceインフラストラクチャに適用されます。組織がビルトイン・アプリケーションを使用している場合は、いくつかの権限が事前に構成されている場合があります。詳細は、アプリケーションのドキュメントを参照してください。

表D-1 Oracle Business Intelligenceインフラストラクチャの権限とデフォルト設定

コンポーネント

権限

説明

デフォルトでこの権限が付与されているロール

アクセス

ダッシュボードへのアクセス

ユーザーにダッシュボードの表示を許可します。

BIConsumer

アクセス

アンサーへのアクセス

ユーザーに分析エディタへのアクセスを許可します。

BIAuthor

アクセス

BIコンポーザへのアクセス

ユーザーにBIコンポーザ・ウィザードへのアクセスを許可します。

BIAuthor

アクセス

デリバーへのアクセス

ユーザーにエージェントの作成と編集を許可します。

BIAuthor

アクセス

ブリーフィング・ブックへのアクセス

ユーザーにブリーフィング・ブックの表示とダウンロードを許可します。

BIConsumer

アクセス

モバイルへのアクセス

ユーザーにOracle Business Intelligence Mobileアプリケーションからプレゼンテーション・サービスへのアクセスを許可します。

BIConsumer

アクセス

管理へのアクセス

ユーザーにプレゼンテーション・サービスの「管理」ページへのアクセスを許可します。

BIAdministrator

アクセス

セグメントへのアクセス

ユーザーにOracleのSiebel Marketingへのアクセスを許可します。

BIConsumer

アクセス

セグメント・ツリーへのアクセス

ユーザーにOracleのSiebel Marketing内のセグメント・ツリーへのアクセスを許可します。

BIAuthor

アクセス

リスト・フォーマットへのアクセス

ユーザーにOracleのSiebel Marketing内のリスト・フォーマットへのアクセスを許可します。

BIAuthor

アクセス

メタデータ・ディクショナリへのアクセス

ユーザーに、サブジェクト・エリア、フォルダ、列およびレベルのメタデータ・ディクショナリ情報へのアクセスを許可します。詳細は、『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』でメタデータ・ディクショナリ情報へのアクセスの提供に関する項を参照してください。

BIAdministrator

アクセス

Oracle BI for Microsoft Officeへのアクセス

第D.2.3.3.2項「「Oracle BI for Microsoft Officeへのアクセス」権限」を参照してください。

BIConsumer

アクセス

Oracle BIクライアント・インストーラへのアクセス

ユーザーにOracle BIクライアント・ツールのインストーラのダウンロードを許可します。このインストーラにより、Business Intelligence管理ツールとOracle Business Intelligenceジョブ・マネージャがインストールされます。

BIConsumer

アクセス

カタログ・プレビュー・ペインUI

ユーザーに、各カタログ・オブジェクトの外観のプレビューを表示する、カタログ・プレビュー・ペインへのアクセスを許可します。

BIConsumer

アクセス

KPI Builderへのアクセス

ユーザーにKPIの作成を許可します。

BIAuthor

アクセス

スコアカードへのアクセス

ユーザーにOracle BIスコアカードへのアクセスを許可します。

BIConsumer

アクション

ナビゲート・アクションの作成

第D.2.3.3.1項「Oracle BI Enterprise Editionアクションへのアクセス」を参照してください。

BIAuthor

アクション

起動アクションの作成

第D.2.3.3.1項「Oracle BI Enterprise Editionアクションへのアクセス」を参照してください。

BIAuthor

アクション

埋込みHTMLが含まれるアクションの保存

第D.2.3.3.1項「Oracle BI Enterprise Editionアクションへのアクセス」を参照してください。

BIAdministrator

管理: カタログ

権限の変更

ユーザーにカタログ・オブジェクトの権限の変更を許可します。

BIAuthor

管理: カタログ

メンテナンス・モードへの切替え

「メンテナンス・モードへの切替え」リンクをプレゼンテーション・サービスの管理ページに表示します。これによって、ユーザーはメンテナンス・モードのオンとオフとを切り替えることができます。メンテナンス・モードではカタログは読取り専用になるため、いずれのユーザーも書込みできません。

BIAdministrator

管理: 一般

セッションの管理

プレゼンテーション・サービスの「管理」ページに「セッションの管理」リンクを表示します。このリンクは、ユーザーがセッションを管理できる「セッションの管理」ページを表示します。

BIAdministrator

管理: 一般

ダッシュボードの管理

ユーザーに、プロパティの編集を含め、ダッシュボードの作成と編集を許可します。

BIAdministrator

管理: 一般

セッションIDの参照

ユーザーに「セッションの管理」ページでのセッションIDの参照を許可します。

BIAdministrator

管理: 一般

SQLの直接実行

プレゼンテーション・サービスの「管理」ページに「SQLの実行」リンクを表示します。このリンクは、ユーザーがSQL文を入力する「SQLの実行」ページを表示します。

BIAdministrator

管理: 一般

システム情報の表示

プレゼンテーション・サービスの管理ページの最上部に、システムに関する情報を表示することをユーザーに許可します。

BIAdministrator

管理: 一般

パフォーマンスのモニター

ユーザーにパフォーマンスのモニターを許可します。

BIAdministrator

管理: 一般

エージェント・セッションの管理

プレゼンテーション・サービスの管理ページに「エージェント・セッションの管理」リンクを表示します。このリンクは、ユーザーがエージェント・セッションを管理できる「エージェント・セッションの管理」ページを表示します。

BIAdministrator

管理: 一般

デバイス・タイプの管理

プレゼンテーション・サービスの管理ページに「デバイス・タイプの管理」リンクを表示します。このリンクは、ユーザーがエージェントのデバイス・タイプを管理できる「デバイス・タイプの管理」ページを表示します。

BIAdministrator

管理: 一般

マップ・データの管理

プレゼンテーション・サービスの管理ページに「マップ・データの管理」リンクを表示します。このリンクは、ユーザーがマップ・ビューのレイヤー、背景マップおよびイメージを編集する「マップ・データの管理」ページを表示します。

BIAdministrator

管理: 一般

権限エラーの参照

ユーザーに権限エラー・メッセージの参照を許可します。ユーザーは、データベース接続に関する詳細なエラー・メッセージ、またはより低レベルのコンポーネントで障害が生じた場合はその他の詳細を参照できます。

BIAdministrator

管理: 一般

エラーで発行されたSQLの参照

エラー・メッセージでBIサーバーによって返されたSQL文の参照をユーザーに許可します。

BIConsumer

管理: 一般

マーケティング・ジョブの管理

プレゼンテーション・サービスの管理ページに「マーケティング・ジョブの管理」リンクを表示します。このリンクは、ユーザーがマーケティング・ジョブを管理できる「マーケティング・ジョブの管理」ページを表示します。

BIAuthor

管理: 一般

マーケティング・デフォルトの管理

プレゼンテーション・サービスの管理ページに「マーケティング・デフォルトの管理」リンクを表示します。このリンクは、ユーザーがOracleのSiebel Marketingアプリケーションのデフォルトを管理できる「マーケティング・デフォルトの管理」ページを表示します。

BIAdministrator

管理: セキュリティ

カタログ・グループの管理

プレゼンテーション・サービスの管理ページに「カタログ・グループの管理」リンクを表示します。このリンクは、ユーザーがカタログ・グループを編集する「カタログ・グループの管理」ページを表示します。

BIAdministrator

管理: セキュリティ

権限の管理

プレゼンテーション・サービスの管理ページに「権限の管理」リンクを表示します。このリンクは、この表で説明されている権限をユーザーが管理する「権限の管理」ページを表示します。

BIAdministrator

管理: セキュリティ

カタログ・オブジェクトの所有権の設定

ユーザーに、作成しなかったため所有権を持っていないカタログ項目の所有権を保持することを許可します。「プロパティ」ページで、個々のオブジェクトには「この項目の所有権を設定」リンクを表示し、フォルダには「この項目の所有権を設定」リンクを表示します。

BIAdministrator

管理: セキュリティ

ユーザー移入 - ユーザーをリスト可能

ユーザーに、権限の割当てなどのタスクの実行対象にできるユーザーのリストの参照を許可します。

BIConsumer、BISystem

管理: セキュリティ

ユーザー移入 - グループをリスト可能

ユーザーに、権限の割当てなどのタスクの実行対象にできるグループのリストの参照を許可します。

BIConsumer、BISystem

ブリーフィング・ブック

ブリーフィング・ブックに追加またはブリーフィング・ブックを編集

ダッシュボードのページや分析の「ブリーフィング・ブックに追加」リンクとブリーフィング・ブック内の「編集」リンクの参照を許可します。

BIAuthor

ブリーフィング・ブック

ブリーフィング・ブックのダウンロード

ユーザーにブリーフィング・ブックのダウンロードを許可します。

BIConsumer

カタログ

個人用ストレージ

ユーザーに、専用のMy Foldersフォルダへの書込みアクセス権を許可し、そこにコンテンツを作成できるようにします。この権限を持っていないユーザーは、電子メール・アラートは受信できますが、ダッシュボード・アラートは受信できません。

BIConsumer

カタログ

メタデータの再ロード

ユーザーに、「サブジェクト・エリア」ペインの「リフレッシュ」メニューでの「サーバー・メタデータの再ロード」リンクのクリックを許可します。

BIAdministrator

カタログ

非表示の項目の参照

ユーザーに、カタログ・フォルダ内の非表示項目の参照を許可します。ユーザーは、「カタログ」ページの「非表示項目の表示」ボックスも選択できます。

BIAuthor

カタログ

フォルダの作成

ユーザーに、カタログ内でのフォルダの作成を許可します。

BIAuthor

カタログ

カタログのアーカイブ

ユーザーにカタログ内のフォルダとオブジェクトのアーカイブを許可します。

BIAdministrator

カタログ

カタログのアンアーカイブ

ユーザーに、以前にアーカイブされたカタログ・オブジェクトのアンアーカイブを許可します。

BIAdministrator

カタログ

ファイルのアップロード

ユーザーに、既存のカタログへのファイルのアップロードを許可します。

BIAdministrator

カタログ

グローバル検索の実行

ユーザーに基本カタログ検索を使用したカタログの検索を許可します。これは、デフォルトでOracle BI Enterprise Editionインストールに含まれています。

BIAuthor

カタログ

拡張検索の実行

ユーザーに全文検索を使用したカタログの検索を許可します。全文検索を使用するには、管理者は、Oracle BI Enterprise EditionをOracle Secure Enterprise Searchと統合する必要があります。

BIAuthor

条件

条件の作成

ユーザーに、名前付きの条件の作成または編集を許可します。

BIAuthor

ダッシュボード

カスタマイズの保存

第D.5項「ダッシュボードに保存されたカスタマイズ・オプションへのアクセス権の制御」を参照してください。

BIConsumer

ダッシュボード

デフォルト・カスタマイズの割当て

第D.5項「ダッシュボードに保存されたカスタマイズ・オプションへのアクセス権の制御」を参照してください。

BIAuthor

書式設定

システム全体の列書式の保存

ユーザーに、列の書式の指定時にシステム全体のデフォルトを保存することを許可します。

BIAdministrator

ホームおよびヘッダー

ホーム・ページにアクセス

ユーザーにグローバル・ヘッダーからホーム・ページへのアクセスを許可します。

BIConsumer

ホームおよびヘッダー

カタログUIにアクセス

ユーザーにグローバル・ヘッダーからカタログへのアクセスを許可します。

BIConsumer

ホームおよびヘッダー

カタログ検索UIにアクセス

ユーザーにグローバル・ヘッダーから検索フィールドへのアクセスを許可します。

BIConsumer

ホームおよびヘッダー

単純検索フィールド

ユーザーにグローバル・ヘッダーの「検索」フィールドへのアクセスを許可します。

BIConsumer

ホームおよびヘッダー

「拡張検索」リンク

ユーザーにグローバル・ヘッダーの「詳細」リンクへのアクセスをに許可します。

BIConsumer

ホームおよびヘッダー

メニューを開く

ユーザーにグローバル・ヘッダーから「開く」メニューへのアクセスを許可します。

BIConsumer

ホームおよびヘッダー

新規メニュー

ユーザーにグローバル・ヘッダーから「新規」メニューへのアクセスを許可します。

BIConsumer

ホームおよびヘッダー

ヘルプ・メニュー

ユーザーにグローバル・ヘッダーから「ヘルプ」メニューへのアクセスを許可します。

BIConsumer

ホームおよびヘッダー

ダッシュボード・メニュー

ユーザーにグローバル・ヘッダーから「ダッシュボード」メニューへのアクセスを許可します。

BIConsumer

ホームおよびヘッダー

お気に入りメニュー

ユーザーにグローバル・ヘッダーから「お気に入り」メニューへのアクセスを許可します。

BIConsumer

ホームおよびヘッダー

「マイ・アカウント」リンク

ユーザーに、グローバル・ヘッダーで「次としてサインイン」名をクリックした際に「マイ・アカウント」リンクにアクセスする権限を許可します。

BIConsumer

ホームおよびヘッダー

カスタム・リンク

ユーザーに、管理者がグローバル・ヘッダーに追加したカスタム・リンクへのアクセスを許可します。

BIConsumer

マイ・アカウント

マイ・アカウントへのアクセス

ユーザーに「マイ・アカウント」ダイアログへのアクセスを許可します。

BIConsumer

マイ・アカウント

プリファレンスの変更

ユーザーに、「マイ・アカウント」ダイアログの「プリファレンス」タブへのアクセスを許可します。

BIConsumer

マイ・アカウント

配信オプションの変更

ユーザーに、「マイ・アカウント」ダイアログの「配信オプション」タブへのアクセスを許可します。

BIConsumer

アンサー

ビューの作成

ユーザーにビューの作成を許可します。

BIAuthor

アンサー

プロンプトの作成

ユーザーにプロンプトの作成を許可します。

BIAuthor

アンサー

「詳細」タブにアクセス

ユーザーに、分析エディタの「詳細設定」タブへのアクセスを許可します。

BIAuthor

アンサー

列式の編集

ユーザーに列式の編集を許可します。

BIAuthor

アンサー

HTMLマークアップを含むコンテンツの保存

第D.2.3.3.3項「「HTMLマークアップを含むコンテンツの保存」権限」を参照してください。

BIAdministrator

アンサー

XMLと論理SQLの入力

ユーザーに「高度なSQL」タブの使用を許可します。

BIAuthor

アンサー

直接データベース分析の編集

ユーザーに、バックエンド・データ・ソースに直接送信されるリクエストの作成と編集を許可します。

BIAdministrator

アンサー

単純SQLからの分析の作成

ユーザーに「サブジェクト・エリアの選択」リストでの「単純SQLからの分析の作成」オプションの選択を許可します。

BIAdministrator

アンサー

高度なフィルタの作成と操作の設定

ユーザーに、分析エディタの「基準」タブでの「union、intersection、および異なる演算子に基づいた結果を結合します。」ボタンのクリックを許可します。

BIAuthor

アンサー

フィルタの保存

ユーザーにフィルタの保存を許可します。

BIAuthor

アンサー

直接データベース分析の実行

ユーザーに、バックエンド・データ・ソースへのリクエストの直接発行を許可します。

BIAdministrator

デリバー

エージェントの作成

ユーザーにエージェントの作成を許可します。

BIAuthor

デリバー

エージェントの登録を公開

ユーザーに、エージェントの登録の公開を許可します。

BIAuthor

デリバー

特定のユーザーまたは動的に決定されるユーザーにエージェントを配信

ユーザーに、エージェントの他のユーザーへの配信を許可します。

BIAdministrator

デリバー

エージェントの結合

ユーザーにエージェントの結合を許可します。

BIAuthor

デリバー

エージェントの現在の登録の変更

ユーザーに、ユーザーの登録解除を含め、エージェントの現在の登録の変更を許可します。

BIAdministrator

代理

代理として実行

第D.6項「他のユーザーの代理実行の有効化」で説明されているとおり、ユーザーに、他のユーザーの代理ユーザーとして実行することを許可します。

拒否: BIConsumer

RSSフィード

RSSフィードへのアクセス

ユーザーに、アラートとフォルダのコンテンツを伴うRSSフィードへの登録と受信を許可します。

プレゼンテーション・サービスがHTTPSプロトコルを使用している場合は、使用するRSSリーダーもHTTPSプロトコルをサポートしている必要があります。

BIAuthor

スコアカード

スコアカードの作成/編集

ユーザーにスコアカードの作成と編集を許可します。

BIAuthor

スコアカード

スコアカードの表示

ユーザーにスコアカードの表示を許可します。

BIConsumer

スコアカード

目標の作成/編集

ユーザーに目標の作成と編集を許可します。

BIAuthor

スコアカード

イニシアティブの作成/編集

ユーザーにイニシアティブの作成と編集を許可します。

BIAuthor

スコアカード

ビューの作成

ユーザーに、企業戦略を提示および分析するスコアカード・オブジェクト(ビジョン記述書およびミッション記述書、戦略マップ、原因/結果マップなど)の作成と編集を許可します。

BIAuthor

スコアカード

原因と結果関連の作成/編集

ユーザーに、原因と結果関連の作成と編集を許可します。

BIAuthor

スコアカード

パースペクティブの作成/編集

ユーザーにパースペクティブの作成と編集を許可します。

BIAdministrator

スコアカード

注釈の追加

ユーザーに、KPIとスコアカード・コンポーネントへのコメントの追加を許可します。

BIConsumer

スコアカード

ステータスのオーバーライド

ユーザーに、KPIとスコアカード・コンポーネントのステータスのオーバーライドを許可します。

BIConsumer

スコアカード

KPIの作成/編集

ユーザーにKPIの作成と編集を許可します。

BIAuthor

スコアカード

KPIのデータベースへのライトバック

ユーザーに、KPIの実際の値やターゲット設定値のリポジトリへの入力および送信を許可します。

BIConsumer

スコアカード

ダッシュボードへのスコアカード・ビューの追加

ユーザーに、ダッシュボードへのスコアカード・ビュー(戦略ツリーなど)の追加を許可します。

BIConsumer

リスト・フォーマット

リスト・フォーマットの作成

ユーザーに、OracleのSiebel Marketingでのリスト・フォーマットの作成を許可します。

BIAuthor

リスト・フォーマット

ヘッダーとフッターの作成

ユーザーに、OracleのSiebel Marketingでのリスト・フォーマットのヘッダーとフッターの作成を許可します。

BIAuthor

リスト・フォーマット

「アクセス・オプション」タブ

ユーザーに、OracleのSiebel Marketingでのリスト・フォーマットの「オプション」タブへのアクセスを許可します。

BIAuthor

リスト・フォーマット

リスト・フォーマット列の追加/削除

ユーザーに、OracleのSiebel Marketingでのリスト・フォーマットの列の追加と削除を許可します。

BIAdministrator

セグメンテーション

セグメントの作成

ユーザーに、OracleのSiebel Marketingでのセグメントの作成を許可します。

BIAuthor

セグメンテーション

セグメント・ツリーの作成

ユーザーに、OracleのSiebel Marketingでのセグメント・ツリーの作成を許可します。

BIAuthor

セグメンテーション

保存された結果セットの作成/パージ

ユーザーに、OracleのSiebel Marketingでの保存済結果セットの作成とパージを許可します。

BIAdministrator

セグメンテーション

セグメントの「高度なオプション」タブへのアクセス

ユーザーに、OracleのSiebel Marketingのセグメントの「高度なオプション」タブへのアクセスを許可します。

BIAdministrator

セグメンテーション

セグメント・ツリーの「高度なオプション」タブへのアクセス

ユーザーに、OracleのSiebel Marketingのセグメント・ツリーの「高度なオプション」タブへのアクセスを許可します。

BIAdministrator

セグメンテーション

セグメント・デザイナ内のターゲット・レベルの変更

ユーザーに、OracleのSiebel Marketingのセグメント・デザイナ内のターゲット・レベルの変更を許可します。

BIAdministrator

モバイル

ローカル・コンテンツの有効化

Oracle Business Intelligence Mobileのユーザーに、BIコンテンツのローカル・コピーをモバイル機器に保存することを許可します。

BIConsumer

モバイル

検索の有効化

Oracle Business Intelligence Mobileのユーザーにカタログの検索を許可します。

BIConsumer

SOAP

SOAPにアクセス

ユーザーに、各種Webサービスへのアクセスを許可します。

BIConsumer、BISystem

SOAP

システム・ユーザーとして偽装

ユーザーに、Webサービスを使用するシステム・ユーザーの偽装を許可します。

BISystem

SOAP

MetadataServiceサービスへのアクセス

ユーザーに、MetadataService Webサービスへのアクセスを許可します。

BIConsumer、BISystem

SOAP

AnalysisExportViewsServiceサービスへのアクセス

ユーザーに、ReportingEditingService Webサービスへのアクセスを許可します。

BIConsumer

SOAP

ReportingEditingServiceサービスへのアクセス

ユーザーに、ReportingEditingService Webサービスへのアクセスを許可します。

BIConsumer、BISystem

SOAP

ConditionEvaluationServiceサービスへのアクセス

ユーザーに、ConditionEvaluationService Webサービスへのアクセスを許可します。

BIConsumer、BISystem

SOAP

ReplicationServiceサービスへのアクセス

Oracle BIプレゼンテーション・カタログをレプリケートするためにReplicationService Webサービスへアクセスすることをユーザーに許可します。

BISystem

SOAP

CatalogIndexingServiceサービスへのアクセス

全文検索に使用する目的でOracle BIプレゼンテーション・カタログを索引付けするためにCatalogIndexingService Webサービスへアクセスすることをユーザーに許可します。

BISystem

SOAP

DashboardServiceサービスへのアクセス

ユーザーに、DashboardService Webサービスへのアクセスを許可します。

BIConsumer、BISystem

SOAP

SecurityServiceサービスへのアクセス

ユーザーに、SecurityService Webサービスへのアクセスを許可します。

BIConsumer、BISystem

SOAP

テナント情報へのアクセス

内部使用のみ。

BISystem

SOAP

ScorecardMetadataServiceサービスへのアクセス

ユーザーに、ScorecardMetadataService Webサービスへのアクセスを許可します。

BIConsumer、BISystem

SOAP

ScorecardAssessmentServiceサービスへのアクセス

ユーザーに、ScorecardAssessmentService Webサービスへのアクセスを許可します。

BIConsumer、BISystem

SOAP

HtmlViewServiceサービスへのアクセス

ユーザーに、HtmlViewService Webサービスへのアクセスを許可します。

BIConsumer、BISystem

SOAP

CatalogServiceサービスへのアクセス

ユーザーに、CatalogService Webサービスへのアクセスを許可します。

BIConsumer、BISystem

SOAP

IBotServiceサービスへのアクセス

ユーザーに、IBotService Webサービスへのアクセスを許可します。

BIConsumer、BISystem

SOAP

XmlGenerationServiceサービスへのアクセス

ユーザーに、XmlGenerationService Webサービスへのアクセスを許可します。

BIConsumer、BISystem

SOAP

JobManagementServiceサービスへのアクセス

ユーザーに、JobManagementService Webサービスへのアクセスを許可します。

BIConsumer、BISystem

SOAP

KPIAssessmentServiceサービスへのアクセス

ユーザーに、KPIAssessmentService Webサービスへのアクセスを許可します。

BIConsumer、BISystem

サブジェクト・エリア (名前別)

Oracle BIアンサー内でのアクセス

ユーザーに、アンサー・エディタ内の指定したサブジェクト・エリアへのアクセスを許可します。

BIAuthor

ビュー

アナライザビューの追加と編集

ユーザーにアナライザ・ビューへのアクセスを許可します。

BIAdministrator

ビュー

列セレクタビューの追加と編集

ユーザーに列セレクタ・ビューの作成と編集を許可します。

BIAuthor

ビュー

複合ビューの追加と編集

ユーザーに複合レイアウト・ビューの作成と編集を許可します。

BIAuthor

ビュー

グラフビューの追加と編集

ユーザーにグラフ・ビューの作成と編集を許可します。

BIAdministrator

ビュー

ファンネルビューの追加と編集

ユーザーにファンネル・グラフ・ビューの作成と編集を許可します。

BIAuthor

ビュー

ゲージビューの追加と編集

ユーザーにゲージ・ビューの作成と編集を許可します。

BIAuthor

ビュー

フィルタビューの追加と編集

ユーザーにフィルタ・ビューの作成と編集を許可します。

BIAuthor

ビュー

ダッシュボード・プロンプトビューの追加と編集

ユーザーにダッシュボード・プロンプト・ビューの作成と編集を許可します。

BIAuthor

ビュー

静的テキストビューの追加と編集

ユーザーに静的テキスト・ビューの作成と編集を許可します。

BIAuthor

ビュー

凡例ビューの追加と編集

ユーザーに凡例ビューの作成と編集を許可します。

BIAuthor

ビュー

マップビューの追加と編集

ユーザーにマップ・ビューの作成と編集を許可します。

BIAuthor

ビュー

ナレーティブビューの追加と編集

ユーザーにナレーティブ・ビューの作成と編集を許可します。

BIAuthor

ビュー

結果なしビューの追加と編集

ユーザーに結果なしビューの作成と編集を許可します。

BIAuthor

ビュー

ピボット表ビューの追加と編集

ユーザーにピボット表ビューの作成と編集を許可します。

BIAuthor

ビュー

レポート・プロンプトビューの追加と編集

ユーザーにプロンプト・ビューの作成と編集を許可します。

BIAuthor

ビュー

セグメントの作成ビューの追加と編集

ユーザーにセグメント・ビューの作成と編集を許可します。

BIAuthor

ビュー

SelectionStepsViewの追加と編集

ユーザーに選択ステップ・ビューの作成と編集を許可します。

BIAuthor

ビュー

論理SQLビューの追加と編集

ユーザーに論理SQLビューの作成と編集を許可します。

BIAuthor

ビュー

表ビューの追加と編集

ユーザーに表ビューの作成と編集を許可します。

BIAuthor

ビュー

ターゲット・リストを作成ビューの追加と編集

ユーザーにターゲット・リスト・ビューの作成と編集を許可します。

BIAuthor

ビュー

ティッカビューの追加と編集

ユーザーにティッカ・ビューの作成と編集を許可します。

BIAuthor

ビュー

タイトルビューの追加と編集

ユーザーにタイトル・ビューの作成と編集を許可します。

BIAuthor

ビュー

ビュー・セレクタビューの追加と編集

ユーザーにビュー・セレクタ・ビューの作成と編集を許可します。

BIAuthor

ライトバック

データベースへのライトバック

データ・ソースにデータを書き込む権限を付与します。

拒否: BIConsumer

ライトバック

ライトバックの管理

ライトバック・リクエストを管理する権限を付与します。

BIAdministrator

D.2.3.3.1 Oracle BI Enterprise Editionアクションへのアクセス

「アクション」権限を設定する必要があります。この権限は、ユーザーがアクション機能を使用できるかどうかを決定し、どのユーザー・タイプがアクションを作成できるかを指定します。次のリストで、これらの権限を説明します。

- ナビゲート・アクションの作成 — どのユーザーがナビゲート・アクション・タイプを作成できるかを決定します。この権限が拒否されたユーザーのセッションには、ナビゲート・アクションの作成が可能なユーザー・インタフェース・コンポーネントは一切含まれません。たとえば、この権限が拒否されたユーザーが、Oracle BI Enterprise Editionグローバル・ヘッダーからアクションの作成を選択すると、ユーザーがアクション・タイプを選択するダイアログに「ナビゲート・アクション」オプションは含まれません(「BIコンテンツに移動」、「Webページに移動」など)。ただし、この権限が拒否されたユーザーは、保存済アクションを分析およびダッシュボードに追加することはできます。さらに、この権限が拒否されたユーザーは、アクションを含む分析またはダッシュボードからアクションを実行することができます。

- 起動アクションの作成 — どのユーザーが起動アクション・タイプを作成できるかを決定します。この権限が拒否されたユーザーのセッションには、起動アクションの作成が可能なユーザー・インタフェース・コンポーネントは一切含まれません。たとえば、この権限が拒否されたユーザーが、エージェント・エディタの「アクション」タブを選択し「新規アクションの追加」ボタンをクリックすると、ユーザーがアクション・タイプを選択するダイアログに「起動アクション」オプションは含まれません(「Webサービスの起動」、「HTTPリクエストの起動」など)。ただし、この権限が拒否されたユーザーは、保存済アクションを分析およびダッシュボードに追加することはできます。さらに、この権限が拒否されたユーザーは、アクションを含む分析またはダッシュボードからアクションを実行することができます。

- 埋込みHTMLが含まれるアクションの保存 — どのユーザーがWebサービス・アクション結果のカスタマイズにHTMLコードを埋め込むことができるかを決定します。この権限を割り当てると、ユーザーによるHTMLコードの実行が可能になりセキュリティ上のリスクが発生するため、注意が必要です。

D.2.3.3.2 「Oracle BI for Microsoft Officeへのアクセス」権限

「Oracle BI for Microsoft Officeへのアクセス」権限があると、Oracle BI EEの「ホーム」ページの「はじめに」エリアにある「BIデスクトップ・ツールのダウンロード」リンクに、次のオプションが表示されます。

- Oracle BI for MS Office: Oracle BI Add-in for Microsoft Officeのインストール・ファイルをダウンロードします。

「Oracle BI for Microsoft Officeへのアクセス」権限は、分析の「コピー」リンクの表示には影響しません。このリンクは、常にそこで使用可能です。

Oracle BI for Microsoft Office用にダウンロードするインストール・ファイルの場所は、デフォルトで、instanceconfig.xmlファイルのBIforOfficeURL要素に指定されています。Oracle BI for Microsoft Officeと「コピー」オプションの詳細は、『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』を参照してください。

D.2.3.3.3 「HTMLマークアップを含むコンテンツの保存」権限

デフォルトでは、プレゼンテーション・サービスはクロスサイト・スクリプティング(XSS)から保護されています。XSSから保護するために、プレゼンテーション・サービスのフィールドへの入力をエスケープし、それをプレーン・テキストとして表示します。たとえば、保護不可能なユーザーがHTMLフィールドを使用して、ページからデータを盗むスクリプトを入力する場合があります。

デフォルトでは、エンド・ユーザーは、HTMLとしてフラグ付けされたコンテンツを保存できません。かわりに、「HTMLマークアップを含むコンテンツの保存」権限を持つ管理者だけが、HTMLコードを含むコンテンツを保存できます。「HTMLマークアップを含むコンテンツの保存」権限を持つユーザーは、fmap接頭辞の付いたイメージを保存できます。この権限が割り当てられていないユーザーが、fmap接頭辞の付いたイメージを保存しようとすると、エラー・メッセージが表示されます。

D.2.4 プレゼンテーション・サービスでのセッションの管理

プレゼンテーション・サービス管理の「セッション管理」ページを使用して、アクティブ・ユーザーと実行中の分析に関する情報の表示、リクエストの取消し、キャッシュの消去を実行できます。

プレゼンテーション・サービスでセッションを管理するには:

1. プレゼンテーション・サービスの「ホーム」ページで「管理」を選択します。

2. 「セッション管理」リンクをクリックします。
「セッション管理」画面が表示され、次の表が示されます。

- セッション表。ログインしているユーザーに対して作成されているセッションに関する情報を示します。

- カーソル・キャッシュ表。分析のステータスを表示します。

実行中のリクエストをすべて取り消すには:

1. 「実行中のリクエストの取消し」をクリックします。

2. 「終了」をクリックします。

実行中の分析を1つ取り消すには:

- カーソル・キャッシュ表で分析を識別し、「アクション」列で「取消」リンクをクリックします。
ユーザーは、分析が管理者によって取り消されたことを示すメッセージを受け取ります。

Webキャッシュをクリアするには:

1. カーソル・キャッシュ表で分析を識別し、「すべてのカーソルを閉じる」をクリックします。

2. 「終了」をクリックします。

分析に関連付けられたキャッシュ・エントリをクリアするには:

- カーソル・キャッシュ表で分析を識別し、「アクション」列で「閉じる」リンクをクリックします。

分析に関する情報の問合せファイルを表示するには:

- カーソル・キャッシュ表で、分析を識別し、「ログの表示」リンクをクリックします。

注意:

このログ・ファイルにデータを保存する場合は、問合せログをオンにする必要があります。

D.3 Oracle BIプレゼンテーション・サービスの権限の継承

権限は、ユーザーに直接割り当てるか、アプリケーション・ロールまたはカタログ・グループを通じて割り当てることができます。別の言い方をすると、権限は明示的または効果的に割り当てることができます。有効な権限は、アプリケーション・ロールまたはカタログ・グループからの継承を通じて間接的に割り当てられ、割当てにはこちらの方法をお薦めします。

この項には次のトピックが含まれます:

- 第D.3.1項「権限の継承のルール」

- 第D.3.2項「アプリケーション・ロールで継承される権限の例」

- 第D.3.3項「カタログ・グループで継承される権限の例」

D.3.1 権限の継承のルール

次のリストは、権限の継承のルールを説明しています。

- ユーザーに明示的に付与された権限は、ユーザーが属するアプリケーション・ロールまたはカタログ・グループから継承した権限をオーバーライドします。

- ユーザーが2つのアプリケーション・ロールまたはカタログ・グループに属し、両方に権限が付与されている場合は、制限の最も少ない権限がユーザーに付与されます。
たとえば、一方のアプリケーション・ロールでは開くアクセスが許可されており、もう一方では変更アクセスが許可されている場合、制限の最も少ないアクセスとして、この場合は開くアクセスが付与されます。

注意:

これに対する例外は、2つのアプリケーション・ロールまたはカタログ・グループの一方に対して、権限が明示的に拒否されている場合です。その場合、ユーザーは拒否されます。

- ユーザーがアプリケーション・ロールXに属し、アプリケーション・ロールXがアプリケーション・ロールYのメンバーである場合、アプリケーション・ロールXに割り当てられた権限は、アプリケーション・ロールYに割り当てられた権限をオーバーライドします。XとYがカタログ・グループの場合も同じことが当てはまります。
たとえば、開く権限がマーケティングにある場合、マーケティングのメンバーであるマーケティング管理者はフル・コントロール権限を持つことができます。

- プレゼンテーション・サービスの「権限」ダイアログで、アプリケーション・ロールとともにカタログ・グループが指定されている場合は、カタログ・グループが優先されます。
たとえば、特定のオブジェクトに対して、BIAdministratorロールが読取り専用権限を持ち、Adminカタログ・グループがフル・コントロール権限を持つものとします。BIAdministratorロールとAdminカタログ・グループの両方のメンバーであるユーザーがサインインした場合、このユーザーにはオブジェクトに対するフル・アクセス権が付与されます。

- アクセスの明示的な拒否は、他のあらゆる権限より優先されます。

D.3.2 アプリケーション・ロールで継承される権限の例

図D-1は、アプリケーション・ロールを通じた権限を継承する方法の例を示しています。図の上部には、User1とラベル付けされた四角形があり、User1はRole1とRole2のメンバーであると指定しています。User1の四角形の下には、四角形がさらに2つ接続されていて、左側がRole1、右側がRole2を表しています。

- Role1の四角形は、Role1がDashboardAへのアクセス権を持たず、Role3とRole4のメンバーであると指定しています。

- Role2の四角形は、Role2がDashboardDに対して開くアクセス権を持ち、Role5のメンバーで、DashboardEに対するアクセス権は持たないと指定しています。

Role1の四角形の下には、四角形がさらに2つ接続されていて、左側がRole3、右側がRole4を表しています。

- Role3の四角形は、Role3がDashboardBに対して開くアクセス権を持つと指定しています。

- Role4の四角形は、Role4がDashboardCに対してフル・アクセス権を持ち、DashboardAに対して開くアクセス権を持つと指定しています。

最後に、Role2の四角形の下に1つの四角形が接続されていて、この四角形がRole5を表しています。Role5の四角形は、Role5がDashboardDに対して変更アクセス権を持ち、DashboardEに対して開くアクセス権を持つと指定しています。

図D-1 ロールを使用した権限の継承の例

「図D-1 ロールを使用した権限の継承の例」の説明

この例の内容は次のとおりです。

- User1は、Role1とRole2の直接メンバーで、Role3、Role4およびRole5の間接メンバーです。

- Role1から引き継いだ権限には、DashboardAへのアクセス権はなく、DashboardBへの開くアクセス権およびDashboardCへのフル・コントロールがあります。

- 1つのアプリケーション・ロールが2番目のアプリケーション・ロールのメンバーである場合、1番目のアプリケーション・ロールに割り当てられた権限は、1番目のロールに割り当てられた権限をオーバーライドします。そのため、Role2から継承された権限には、Role5から引き継いだ、DashboardDへの変更アクセス権が含まれます。

- 具体的にアクセス権を拒否すると、他のあらゆる設定より優先されます。そのため、Role1のDashboardAへのアクセス権の拒否は、Role4の開くアクセス権をオーバーライドします。その結果、Role1にはDashboardAへのアクセス権がなくなります。同様に、Role5にはDashboardEへのアクセス権がなくなります。これは、そのダッシュボードへのアクセス権が、Role2に対して明示的に拒否されているからです。

User1に付与された権限は、全体で次のようになります。

- DashboardAとDashboardEへのアクセス権はありません。アクセス権が具体的に拒否されているからです。

- DashboardBに対する開くアクセス権。

- DashboardCに対するフル・コントロール。

- DashboardDに対する変更アクセス権。

D.3.3 カタログ・グループで継承される権限の例

明示的にカタログ・グループに付与された権限は、アプリケーション・ロールに付与された権限より優先されます。たとえば、Marketing_USというアプリケーション・ロールがあり、Marketingダッシュボードへのフル・アクセス権を持っているとします。Marketing_USロールの一部のユーザーに対して、そのダッシュボードへのアクセス権を付与しないように制限するとします。そのためには、Marketing_SanJoseというカタログ・グループを作成し、該当するユーザーをそのグループのメンバーとして追加します。その後で、Marketingダッシュボードに対するMarketing_SanJoseカタログ・グループのアクセスを拒否します。それらのユーザーがMarketing_USロールに属している場合でも、Marketingダッシュボードへのアクセスは拒否されます。

D.4 ユーザーへの共有ダッシュボードの提供

この項では、ユーザーへの共有ダッシュボードの提供について説明します。内容は次のとおりです。

- 第D.4.1項「共有ダッシュボードのカタログ構造について」

- 第D.4.2項「共有ダッシュボードの作成」

- 第D.4.3項「ダッシュボードのテスト」

- 第D.4.4項「ユーザー・コミュニティへのダッシュボードのリリース」

D.4.1 共有ダッシュボードのカタログ構造について

Oracle BIプレゼンテーション・カタログには、次の2つのメイン・フォルダがあります。

- 「マイ・フォルダ」 — 個々のユーザーの個人用ストレージが含まれます。計算された項目やグループなどのオブジェクトを保存する「サブジェクト・エリアのコンテンツ」フォルダが含まれます。

- 「共有フォルダ」 — ユーザー間で共有されるオブジェクトやフォルダが含まれます。ユーザー間で共有されるダッシュボードは、/「共有フォルダ」フォルダの下にある共通サブフォルダの下の「ダッシュボード」サブフォルダに保存されます。

注意:

Oracle BIプレゼンテーション・カタログの分析に対する権限がユーザーに付与されていても、ユーザーが権限を持たないサブジェクト・エリアをこの分析が参照している場合、BIサーバーではこのユーザーは分析を実行できません。

D.4.2 共有ダッシュボードの作成

Oracle BIプレゼンテーション・カタログをセットアップし、権限を設定した後、他のユーザーが使用できるように、共有ダッシュボードとコンテンツを作成できます。

共有ダッシュボードを作成するメリットの1つは、共有ダッシュボード内で作成するページが再利用できる点です。ユーザーは、共有ダッシュボードのページや自分で作成した新しいページを使用して専用のダッシュボードを作成できます。『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド.』で説明されているとおり、ページとコンテンツを追加できます。

複数のユーザーにデフォルトの共有ダッシュボードの変更を許可する予定の場合は、これらのユーザーをアプリケーション・ロールに入れることを検討してください。たとえば、Salesというアプリケーション・ロールとSalesHomeというデフォルトのダッシュボードを作成するとします。Salesアプリケーション・ロールを割り当てたユーザー40人のうち、SalesHomeダッシュボードのコンテンツの作成/変更権限が必要なユーザーは3人です。最初のSalesアプリケーション・ロールと同じ権限を持つSalesAdminアプリケーション・ロールを作成します。SalesHomeダッシュボードとコンテンツの変更が許可されたユーザー3人を、この新しいSalesAdminアプリケーション・ロールに追加し、Oracle BIプレゼンテーション・カタログで、該当する権限をこのロールに付与します。これにより、この3人のユーザーは、SalesHomeダッシュボードのコンテンツの作成と変更が許可されます。ダッシュボードのコンテンツの変更権限がユーザーに不要になった場合は、そのユーザーのロール割当てをSalesに変更できます。既存のSalesロール・ユーザーにダッシュボードのコンテンツの作成権限が必要になった場合は、そのユーザーのロール割当てをSalesAdminに変更できます。

共有ダッシュボードの作成の詳細は、『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』のダッシュボードの管理に関する項を参照してください。

D.4.3 ダッシュボードのテスト

ユーザー・コミュニティにダッシュボードとコンテンツをリリースする前に、いくつかのテストを実行します。

ダッシュボードをテストするには:

1. 適切な権限を持つユーザーが目的のコンテンツに正しくアクセスして表示していることを確認します。

2. 適切な権限を持たないユーザーがダッシュボードにアクセスできないことを確認します。

3. スタイルとスキンが予想どおりに表示され、その他のビジュアル要素も予想どおりであることを確認します。

4. 問題を検出した場合は修正して再テストします。満足する結果が得られるまで、このプロセスを繰り返します。

D.4.4 ユーザー・コミュニティへのダッシュボードのリリース

テストが完了した後、ダッシュボードが使用可能であることをユーザー・コミュニティに通知し、関連するネットワーク・アドレスを確実に提供します。

D.5 ダッシュボードに保存されたカスタマイズ・オプションへのアクセス権の制御

この項では、保存済カスタマイズの概要と、保存済カスタマイズの管理に関する情報について説明します。内容は次のとおりです。

- 第D.5.1項「ダッシュボードの保存済カスタマイズの概要」

- 第D.5.2項「保存済カスタマイズの管理」

- 第D.5.3項「保存済カスタマイズを作成するための権限の設定」

- 第D.5.4項「保存済カスタマイズを管理するための使用シナリオ例」

D.5.1 ダッシュボードの保存済カスタマイズの概要

保存済カスタマイズを使用すると、最もよく使用するアイテムや好みのアイテム(フィルタ、プロンプト、列のソート、分析でのドリル、セクションの展開と縮小など)を使用した現在の状態でダッシュボード・ページを保存し、後で表示できます。カスタマイズを保存することで、ユーザーは、ダッシュボード・ページにアクセスするたびにこれらを手動で選択する必要がなくなります。

適切な権限とダッシュボードのアクセス権を持つユーザーとグループは、次のアクティビティを行えます。

- 個人で使用するため、あるいは他のユーザーが使用するために、様々な選択の組合せを保存済カスタマイズとして保存します。

- 個人で使用するため、あるいは他のユーザーが使用するために、保存済カスタマイズをダッシュボード・ページのデフォルト・カスタマイズに指定します。

- 保存済カスタマイズを切り替えます。

この動作は次の方法で制限できます。

- ユーザーは、割り当てられた保存済カスタマイズのみを表示できます。

- ユーザーは、個人で使用する目的でのみカスタマイズを保存できます。

- ユーザーは、個人使用および他のユーザーによる使用を目的としてカスタマイズを保存できます。

ダッシュボードのエンド・ユーザーと保存済カスタマイズの詳細は、『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』を参照してください。

D.5.2 保存済カスタマイズの管理

この項では、保存済カスタマイズの管理に必要な権限について説明します。また、Oracle BIプレゼンテーション・カタログにおいて、保存済カスタマイズの格納と管理に関連する部分についても説明します。

D.5.2.1 保存済カスタマイズの権限

Oracle BIプレゼンテーション・サービス管理で、ダッシュボード・エリアの次の権限と、主要なダッシュボード要素の権限設定によって、ユーザーまたはグループがカスタマイズを保存または割当てできるかどうかが制御されます。

- カスタマイズの保存

- デフォルト・カスタマイズの割当て

必要なアクセス・レベルに応じて、ユーザーまたはグループにどちらも割り当てないか、一方の権限または両方の権限を割り当てることができます。たとえば、どちらの権限も持たないユーザーは、デフォルト・カスタマイズとして割り当てられている保存済カスタマイズのみを表示できます。

D.5.2.2 保存済カスタマイズのパーミッション

この項では、ダッシュボード・ページの保存済カスタマイズを管理するためにユーザーに必要なパーミッションと、共有および個人用の保存済カスタマイズにパーミッションを設定するためのOracle BIプレゼンテーション・カタログ構造の関連部分について説明します。

D.5.2.2.1 ダッシュボードへのパーミッションの割当て

Oracle BI EEの「権限」ダイアログで、「フル・コントロール」や「アクセス権なし」などのパーミッションをダッシュボートとページに設定します。これらのパーミッションは、カタログ内の他のオブジェクトにも同じ方法で割り当てます。

D.5.2.2.2 ダッシュボード・ページのカスタマイズへのパーミッションの割当て

特定のダッシュボード・ページの保存済カスタマイズを操作するためのパーミッションは、ダッシュボード・ビルダーで使用可能な「ダッシュボードのプロパティ」ダイアログで設定します。このダイアログのリストでページを選択した後、次のいずれかのボタンをクリックします。

- 「共有のカスタマイズを保存できるユーザーの指定」は、誰がダッシュボード・ページの共有カスタマイズを保存できるかを指定する「権限」ダイアログを表示します。

- 「デフォルト・カスタマイズを割り当てることができるユーザーの指定」は、誰がダッシュボード・ページのデフォルト・カスタマイズを割り当てることができるかを指定する「権限」ダイアログを表示します。

次の項で、カタログ・オブジェクトとパーミッション・シナリオについて説明します。

D.5.2.2.3 保存済カスタマイズのカタログ・フォルダ構造

ユーザーおよびグループの保存済カスタマイズに対する制御レベルは、Oracle BIプレゼンテーション・サービス管理で設定した権限に加え、主要な要素へのアクセス権にも依存します。たとえば、ユーザーとグループが、基礎となるダッシュボードの作成と編集、ダッシュボード・ビュー・プリファレンスのカスタマイズとしての保存、およびデフォルト・カスタマイズとしてのカスタマイズの他のユーザーへの割当てを実行できるようにするには、共有ストレージ内の主要要素へのフル・コントロール・パーミッションが必要です。一方、ユーザーとグループが、割り当てられたデフォルト保存済カスタマイズのみを表示できるようにするには、共有ストレージ内の主要要素への表示アクセス権のみが必要です。

カタログ内の主要要素には、次のフォルダが含まれます。

- 「共有記憶域」フォルダ
ダッシュボードの「共有記憶域」フォルダは、通常、親共有フォルダの「ダッシュボード」サブフォルダ内にあります。ダッシュボードは割り当てられた名前によって識別されます。ダッシュボードは、Oracle BIプレゼンテーション・カタログ内の任意の場所に保存できます。ダッシュボードを「ダッシュボード」というサブフォルダに保存すると、グローバル・ヘッダーの「ダッシュボード」リンクから表示されるダッシュボードのリストにそのダッシュボードの名前が表示されます。

パーミッション設定は、特定のダッシュボードを編集するためのアクセスを制御します。通常、パーミッションが_selectionsおよび「ダッシュボード」サブフォルダに継承される場合、ダッシュボードを編集可能なユーザーは、カスタマイズの保存とデフォルトの設定も可能です。特定のダッシュボード・フォルダへのアクセス権によって、ユーザーまたはグループがダッシュボードを編集できるかどうかが制御されます。

_selectionsフォルダには、ダッシュボード・ページごとに1つずつページ識別子のフォルダが含まれます。共有保存済カスタマイズはこのフォルダ内に存在します。ページ識別子のフォルダへのアクセス権によって、ユーザーまたはグループがそのページのカスタマイズを表示、保存または編集できるかどうかが制御されます。

_selectionsフォルダ内の_defaultsフォルダには、割り当てられたデフォルト・カスタマイズが含まれます。デフォルトが割り当てられている各グループがここに表示されます。このフォルダへのアクセス権によって、ユーザーまたはグループがデフォルトを割当てできるかどうかが制御されます。

- 「個人用ストレージ」フォルダ
ユーザーの個人用フォルダでは、_selectionsフォルダに個々のユーザーの保存済カスタマイズが含まれます。共有の_selectionsフォルダと同様に、個人用の_selectionsフォルダにも、各ダッシュボード・ページのページ識別子のフォルダが含まれます。ページ識別子のフォルダには、個人用の保存済カスタマイズと、個人用のデフォルト・カスタマイズのユーザーのプリファレンスを指定する_defaultlinkファイルが含まれます。

個人用の保存済カスタマイズのデフォルトは、割り当てられた共有カスタマイズのデフォルトをオーバーライドします。

注意:

保存済カスタマイズを持つダッシュボード・ページが削除された場合は、保存済カスタマイズもカタログから削除されます。基礎となるダッシュボード構成を変更した場合は(それ以降、ユーザーのアクセス時には保存済カスタマイズを無効にするなど)、デフォルトのコンテンツがダッシュボードに表示されます。

D.5.3 保存済カスタマイズを作成するための権限の設定

表D-2は、保存済カスタマイズを作成するためにユーザーに付与可能な典型的なユーザー・ロールと特定の権限設定について説明しています。「権限の設定」列に一覧表示されているフォルダ名は、前の項で説明されています。

表D-2 保存済カスタマイズのユーザー・ロールと権限設定

ユーザー・ロール

権限の設定

ITユーザーなど、次のタスクを実行する必要があるパワー・ユーザー

- 基礎となるダッシュボードを作成および編集する

- ダッシュボード・ビュー・プリファレンスをカスタマイズとして保存する

- デフォルト・カスタマイズとしてカスタマイズを他のユーザーに割り当てる

カタログの「共有」セクションで、次のフォルダにフル・コントロール・パーミッションが必要です。

- dashboard_name

- _selection

- _defaults

通常は、追加の権限を割り当てる必要はありません。

管理者など、次のタスクを実行する必要がある技術ユーザー

- 個人使用を目的とするカスタマイズとしてカスタマイズを保存する

- 他のユーザーによる使用を目的にカスタマイズを保存する

ユーザーは、基礎となるダッシュボードを作成または編集したり、デフォルト・カスタマイズとしてビュー・カスタマイズを他のユーザーに割り当てることはできません。

カタログの「共有」セクションで、次のフォルダに表示パーミッションが必要です。

- dashboard_name

カタログの「共有」セクションで、次のフォルダに変更権限が必要です。

- _selections

- _defaults

通常は、追加の権限を割り当てる必要はありません。

個人使用を目的にカスタマイズを保存する必要がある通常のユーザー

Oracle BIプレゼンテーション・サービス管理で、次の権限が設定されている必要があります。

- カスタマイズの保存

ダッシュボード・ページで、次のオプションが設定されている必要があります。

- 「個人のカスタマイズの保存の許可」

カタログでは通常、追加権限の設定は不要です。

割り当てられたデフォルト・カスタマイズのみの表示を必要とするカジュアル・ユーザー

カタログの「共有」セクションで、次のフォルダに表示権限が必要です。

- dashboard_name

- _selections

- _defaults

カタログでは通常、追加権限の設定は不要です。

D.5.4 保存済カスタマイズを管理するための使用シナリオ例

設定された権限と付与された権限に応じて、保存済カスタマイズを作成、割当て、使用するためのユーザー権限およびグループ権限の様々な組合せを実現できます。

たとえば、パワー・ユーザーのグループは、本番環境ではダッシュボードを変更できませんが、保存済カスタマイズを作成し、それらをデフォルト・カスタマイズとして他のユーザーに割り当てることは許可されているものとします。このグループには次の権限設定が必要です。

- ダッシュボードへの開くアクセス権。「カタログ」ページを使用します。

- Oracle BIプレゼンテーション・カタログのダッシュボード・フォルダ内のサブフォルダ_selectionsおよび_defaultsへの変更アクセス権。ダッシュボード・ビルダーの「ダッシュボードのプロパティ」ダイアログを使用して割り当てます。ダイアログのリストでページを選択した後、「共有のカスタマイズを保存できるユーザーの指定」および「デフォルト・カスタマイズを割り当てることができるユーザーの指定」をクリックします。

D.6 他のユーザーの代理実行の有効化

この項では、他のユーザーの代理実行の有効化について説明します。内容は次のとおりです。

- 第D.6.1項「他のユーザーの代理実行を有効化する理由」

- 第D.6.2項「プロキシ・レベル」

- 第D.6.3項「他のユーザーの代理実行を有効化するプロセス」

D.6.1 他のユーザーの代理実行を有効化する理由

Oracle BIプレゼンテーション・サービスでは、あるユーザーが別のユーザーの代理で実行できます。ユーザー(プロキシ・ユーザーと呼ばれる)が別のユーザー(ターゲット・ユーザーと呼ばれる)の代理で実行する場合、プロキシ・ユーザーは、ターゲット・ユーザーが権限を持つカタログ内のオブジェクトにアクセスできます。

別のユーザーの代理実行を有効化すると、管理者が自分の業務の一部を直属の部下に委任する場合や、ITサポート・スタッフが別のユーザーのオブジェクトの問題をトラブルシューティングする場合などに役立ちます。

ユーザーが他のユーザーによる代理実行を可能にする方法の詳細は、『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionユーザーズ・ガイド』を参照してください。

D.6.2 プロキシ・レベル

ユーザーをプロキシ・ユーザーとして有効にした場合は、認可レベル(プロキシ・レベルと呼ばれる)も割り当てます。プロキシ・レベルは、ターゲット・ユーザーのカタログ・オブジェクトにアクセスするときに、プロキシ・ユーザーに付与されるパーミッションと権限を決定します。次のリストは、プロキシ・レベルを説明しています。

- 制限付き — パーミッションは、ターゲット・ユーザーがアクセス権を持つオブジェクトに対する読取り専用です。権限は、(ターゲット・ユーザーのアカウントではなく)プロキシ・ユーザーのアカウントによって決まります。
たとえば、プロキシ・ユーザーにはアンサーへのアクセス権限が割り当てられておらず、ターゲット・ユーザーには割り当てられているとします。プロキシ・ユーザーがターゲット・ユーザーとして実行するときに、ターゲット・ユーザーはアンサーにアクセスできません。

- フル — パーミッションと権限はターゲット・ユーザーのアカウントから継承されます。
たとえば、プロキシ・ユーザーにはアンサーへのアクセス権限が割り当てられておらず、ターゲット・ユーザーには割り当てられているとします。プロキシ・ユーザーがターゲット・ユーザーとして実行するときに、ターゲット・ユーザーはアンサーにアクセスできます。

ユーザーがプロキシ・ユーザーとして動作できるようにし、そのユーザーに代理として実行権限が設定されている場合は、プレゼンテーション・サービスのグローバル・ヘッダーに「別ユーザーとして実行」オプションを表示し、代理実行するターゲット・ユーザーを選択できます。

ヒント:

プロキシ・ユーザーがターゲット・ユーザーとして操作を実行するには、事前に、ターゲット・ユーザーが少なくとも一度はプレゼンテーション・サービスにサインインしてダッシュボードにアクセスしている必要があります。

注意:

プロキシ・ユーザーが偽装できるユーザーの場合は、そのユーザーの代理として実行できるパーミッションを持ったユーザーを参照できます。これらのユーザーを参照するには、「分析」にログインし、「マイ・アカウント」ダイアログ・ボックスに移動し、「ユーザーに委任」という追加タブを表示します。このタブに、代理で接続可能なユーザーと、代理で接続したときに保持するパーミッション(「制限付き」または「フル」)が表示されます。

D.6.3 他のユーザーの代理実行を有効化するプロセス

他のユーザーの代理実行を可能にするには、次のタスクを実行します。

- 第D.6.3.1項「プロキシ・ユーザーとターゲット・ユーザーの関連付けの定義」

- 第D.6.3.2項「プロキシ機能のセッション変数の作成」

- 第D.6.3.3項「プロキシ機能の構成ファイルの設定の変更」

- 第D.6.3.4項「プロキシ機能のカスタム・メッセージ・テンプレートの作成」

- 第D.6.3.5項「プロキシ権限の割当て」

- 第D.6.3.6項「manageRepositories権限の割当て」

D.6.3.1 プロキシ・ユーザーとターゲット・ユーザーの関連付けの定義

プロキシ・ユーザーとターゲット・ユーザーの関連付けをデータベース内で定義します。そのためには、プロキシ・ユーザー/ターゲット・ユーザーの関連付けごとに、次の項目を指定します。

- プロキシ・ユーザーのID

- ターゲット・ユーザーのID

- プロキシ・レベル(フルと制限付きのどちらか)

たとえば、次のようなProxiesという表をデータベース内に作成するとします。

proxyId

targetId

proxyLevel

Ronald

Eduardo

フル

Timothy

Tracy

制限付き

Pavel

Natalie

フル

William

Sonal

制限付き

Maria

Imran

制限付き

プロキシ・ユーザーとターゲット・ユーザーの関連付けを定義した後、そのスキーマをBIサーバーの物理レイヤーにインポートする必要があります。スキーマのインポート方法の詳細は、『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionメタデータ・リポジトリ作成者ガイド』を参照してください。

D.6.3.2 プロキシ機能のセッション変数の作成

プロキシ・ユーザーを認証するには、関連付けられた初期化ブロックとともに、次の2つのセッション変数を作成する必要があります。どちらの変数の場合も、データベースのスキーマに従ってサンプルのSQL文を変更する必要があります。

- PROXY — この変数は、プロキシ・ユーザーの名前を格納するために使用します。
ProxyBlockという初期化ブロックを使用し、次のようなコードを含めます。

select targetId
from Proxies
where 'VALUEOF(NQ_SESSION.RUNAS)'=targetId and ':USER'=proxyId

- PROXYLEVEL — このオプションの変数は、制限付きとフルのいずれかのプロキシ・レベルを格納するために使用します。PROXYLEVEL変数を作成しない場合は、制限付きレベルが想定されます。
ProxyLevelという初期化ブロックを使用し、次のようなコードを含めます。

select proxyLevel
from Proxies
where 'VALUEOF(NQ_SESSION.RUNAS)'=targetId and ':USER'=proxyId

セッション変数の作成方法の詳細は、『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionメタデータ・リポジトリ作成者ガイド』を参照してください。

D.6.3.3 プロキシ機能の構成ファイルの設定の変更

instanceconfig.xmlファイルの様々な要素を使用して、プロキシ機能を構成します。

この手順を開始する前に、『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』で、テキスト・エディタを使用したOracle Business Intelligence構成設定の更新に関する項に記載されている情報を十分に理解してください。

プロキシ機能を手動で構成するには:

1. 『Oracle Fusion Middleware Oracle Business Intelligence Enterprise Editionシステム管理者ガイド』の構成ファイルの場所に関する項で説明されているように、instanceconfig.xmlファイルを開いて編集します。

2. 次のリストで説明されている要素を追加する必要のあるセクションを見つけます。

- LogonParam: TemplateMessageName要素およびMaxValues要素の親要素として機能します。

- TemplateMessageName: プロキシ・ユーザーとターゲット・ユーザーの表示に関連するタスクを実行するSQL文を含む、Custom Messagesフォルダ内のカスタム・メッセージ・テンプレートの名前を指定します。デフォルト名は、LogonParamSQLTemplateです。
TemplateMessageName要素で指定する名前は、カスタム・メッセージ・ファイル内のWebMessage要素で指定する名前と一致している必要があります。詳細は、第D.6.3.4項「プロキシ機能のカスタム・メッセージ・テンプレートの作成」を参照してください。

- MaxValues: 「別ユーザーとして実行」ダイアログの「ユーザー」ボックスにリストするターゲット・ユーザーの最大数を指定します。プロキシ・ユーザーのターゲット・ユーザー数がこの値を上回ると、ターゲット・ユーザーのリストではなく、プロキシ・ユーザーがターゲット・ユーザーのIDを入力できる編集ボックスが表示されます。デフォルトは200です。

3. 次の例に示すように、必要に応じて、要素とそれらの祖先要素を含めます。

<LogonParam>
<TemplateMessageName>LogonParamSQLTemplate</TemplateMessageName>
<MaxValues>100</MaxValues>
</LogonParam>

4. 変更内容を保存し、ファイルを閉じます。

5. Oracle Business Intelligenceを再起動します。

D.6.3.4 プロキシ機能のカスタム・メッセージ・テンプレートの作成

次のタスクを実行するSQL文を含む、プロキシ機能のカスタム・メッセージ・テンプレートを作成する必要があります。

- プロキシ・ユーザーが代理実行できるターゲット・ユーザーのリストを取得します。このリストは、「別ユーザーとして実行」ダイアログ・ボックスの「ユーザー」ボックスに表示されます。

- プロキシ・ユーザーが、ターゲット・ユーザーとして実行できるかどうかを確認します。

- ターゲット・ユーザーとして実行可能なプロキシ・ユーザーのリストを取得します。このリストは、ターゲット・ユーザーの「マイ・アカウント」画面に表示されます。

カスタム・メッセージ・テンプレートで、次のXML要素のこの情報を取得するためのSQL文を入力します。

要素

説明

getValues

ターゲット・ユーザーおよび対応するプロキシ・レベルのリストを返すSQL文を指定します。

SQL文は次の1つまたは2つの列を返す必要があります。

- 1列目はターゲット・ユーザーのIDを返します。

- (オプション)2列目は、ターゲット・ユーザーの名前を返します。

verifyValue

現在のユーザーが、指定されたターゲット・ユーザーとして実行できるかどうかを確認するSQL文を指定します。

このSQL文は、ターゲット・ユーザーが有効な場合は1つ以上の行を返し、ターゲット・ユーザーが無効な場合は空の表を返す必要があります。

getDelegateUsers

現在のユーザーとして実行できるプロキシ・ユーザーおよび対応するプロキシ・レベルのリストを取得するためのSQL文を指定します。

SQL文は次の1つまたは2つの列を返す必要があります。

- 1列目はプロキシ・ユーザーの名前を返します。

- (オプション)2列目は、対応するプロキシ・レベルを返します。

カスタム・メッセージ・テンプレートは、次のファイルのいずれかに作成できます。

- ディレクトリ内のオリジナルのカスタム・メッセージ・ファイル

- ディレクトリ内の別のXMLファイル

カスタム・メッセージ・テンプレートを作成するには:

1. オリジナルのカスタム・メッセージ・ファイルにカスタム・メッセージ・テンプレートを作成するには:

1. 別のディレクトリに、オリジナルのカスタム・メッセージ・ファイルのバックアップを作成します。

2. 別のディレクトリに開発用コピーを作成して、テキスト・エディタまたはXMLエディタで開きます。

2. 別のXMLファイルにカスタム・メッセージ・テンプレートを作成するには、ORACLE_INSTANCE\bifoundation\OracleBIPresentationServicesComponent\coreapplication_obipsn\analyticsRes\customMessagesディレクトリにファイルを作成して開きます。

3. WebMessage要素の開始タグと終了タグを追加してカスタム・メッセージ・テンプレートを開始します。例:

<WebMessage name="LogonParamSQLTemplate">
</WebMessage>

注意:

WebMessage要素で指定する名前は、stanceconfig.xmlファイル内のTemplateMessageName要素で指定する名前と一致している必要があります。詳細は、第D.6.3.3項「プロキシ機能の構成ファイルの設定の変更」を参照してください。

4. </WebMessage>タグに続けて、次のようにします。

1. <XML>タグと</XML>タグを追加します。

2. <XML>タグと</XML>タグの間に、<logonParam name="RUNAS">タグと</logonParam>タグを追加します。

3. <logonParam name="RUNAS">タグと</logonParam>タグの間に、次のタグとそれぞれに対応するSQL文を一緒に追加します。

- <getValues>と</getValues>

- <verifyValue>と</verifyValue>

- <getDelegateUsers>と</getDelegateUsers>

次のエントリは例です。

<XML>
<logonParam name="RUNAS">
<getValues> EXECUTE PHYSICAL CONNECTION POOL Proxy.Proxy
select TARGET from Proxy where PROXYER='@{USERID}'
</getValues>
<verifyValue> EXECUTE PHYSICAL CONNECTION POOL Proxy.Proxy
select TARGET from Proxy where PROXYER ='@{USERID}'
and TARGET='@{VALUE}'
</verifyValue>
<getDelegateUsers>EXECUTE PHYSICAL CONNECTION POOL Proxy.Proxy
select PROXYER, PROXY_LEVEL from Proxy where TARGET='@{USERID}'
</getDelegateUsers>
</logonParam>
</XML>

例のSQL文はデータベースのスキーマに従って変更する必要がある点に注意してください。例では、データベースと接続プールはどちらもProxyという名前で、proxyIdはPROXYER、targetIdはTARGETです。

5. オリジナル・ファイルの開発用コピーでカスタム・メッセージ・テンプレートを作成した場合は、customMessagesディレクトリ内のオリジナル・ファイルを、新たに編集したファイルで置き換えます。

6. 新しいファイルをテストします。

7. (オプション)オリジナル・ファイルの開発用コピーでカスタム・メッセージ・テンプレートを作成した場合は、バックアップ・コピーと開発用コピーを削除します。

8. サーバーを再起動するか、「プレゼンテーション・サービス管理」画面の「ファイルとメタデータの再ロード」リンクをクリックして、カスタム・メッセージ・テンプレートをロードします。「管理」ページの詳細は、第D.2.1項 「管理」ページについてを参照してください。

D.6.3.5 プロキシ権限の割当て

プロキシ・ユーザーとして有効にするユーザーごとに、またはプロキシ・ユーザーとして有効にするメンバーが属するアプリケーション・ロールまたはカタログ・グループごとに、「代理として実行」権限を付与する必要があります。権限の割当て方法の詳細は、第D.2.3.2項「アプリケーション・ロールに対するプレゼンテーション・サービスの権限の設定」を参照してください。

D.6.3.6 manageRepositories権限の割当て

プロキシ・ユーザーとしての実行を許可するユーザーごとにmanageRepositories権限を割り当てる必要があります。権限を割り当てるには、Proxyというグループを作成し、それをProxyというアプリケーション・ロールと(manageRepositories権限が付与された)Proxyというアプリケーション・ポリシーに関連付けてから、各ユーザー(プロキシ・ユーザーにするユーザー)をProxyグループに追加します。この目的を達成するために、次の条件を満たしている必要があります。

- グループが存在していること。存在していない場合は作成する必要があります(たとえば、Proxyという名前)。
詳細は、第2.3.3項「組込みWebLogic LDAPサーバーにおけるグループの作成」を参照してください。

- アプリケーション・ロールが存在していること。存在していない場合は作成し(たとえば、Proxyという名前)、Proxyというグループにマッピングする必要があります。
詳細は、第2.4.2.2項「アプリケーション・ロールの作成」を参照してください。

- アプリケーション・ポリシーが存在していること。存在していない場合は作成し(たとえば、Proxyという名前)、Proxyアプリケーション・ロールをmanageRepositories権限の権限受領者にする必要があります。ここで:

- 権限クラス
oracle.security.jps.ResourcePermission

- リソース名
resourceType=oracle.bi.server.permission,resourceName=oracle.bi.server.manageRepositories

- 権限アクション
_all_

詳細は、第2.4.3項「Fusion Middleware Controlの使用によるアプリケーション・ポリシーの作成」を参照してください。

- プロキシ・ユーザーとして有効にする各ユーザーを、Proxyグループに追加する必要があります。
詳細は、第2.3.4項「組込みWebLogic LDAPサーバーにおけるグループへのユーザーの割当て」を参照してください。

索引

A  B  C  D  E  F  G  H  I  J  K  L  M  N  O  P  R  S  T  U  V  W

A

権限

アクセス権, 2.4.3

制御, 2.4.2.2

アクセス

Fusion Middleware Control, 1.6.2

obiストライプ, 1.6.2

Oracle WebLogic Server管理コンソール, 1.6.1

Active Directory

認証プロバイダとして構成, 3.4.2

「権限の追加」ダイアログ, 2.4.3 add-in for Microsoft Office, D.2.3.3.2 管理コンソール

アクセス, 1.6.1

「プロバイダ固有」タブ, 4.4.1

「プロバイダ固有」タブでの設定, 3.4.1, 3.4.2

起動するには, 1.6.1

Oracle BIプレゼンテーション・サービスの「管理」ページ

ツール, 1.6.4

管理ページ, D.2.1 管理サーバー, B.2 管理者ユーザー, アップグレード時に作成, B.6.1.1 管理者グループ,アップグレード, B.6.1.1 アプリケーション・ポリシー

作成, 2.4.3

「アプリケーション・ポリシー」ページ, 2.4.3, 2.4.3 アプリケーション・ポリシーのページ, 2.4.1, 2.4.1 アプリケーション・ポリシー

作成方法, 2.4.3

変更方法, 2.4.4.1

アプリケーション・ポリシー, 2.4.3

概要, B.3

権限付与の変更, 2.4.4.1

コピー, 2.4.3

コピーによる作成, 2.4.3

アプリケーション・ポリシー,定義, B.3 アプリケーション・ロール, 2.4.4

概要, B.3

メンバーの追加または削除, 2.4.4.2

メンバーシップの変更, 2.4.4.2

コピー, 2.4.2.2

作成, 2.4.2.2, 2.4.2.2, 2.4.2.3

コピーによる作成, 2.4.2.2

作成方法, 2.4.2.2

グループへのマッピング方法, 2.4.2.3

変更方法, 2.4.4.2

リポジトリ, 2.4.2.1

権限のマッピング, 2.6.3

プログラムによる権限のマッピング, 2.6.3

プレースホルダ, 2.4.2.1

有効なメンバー, 2.4.2.2

アプリケーション・ロールのマッピング,定義, B.3 アプリケーション・ロール, 表示名のローカライズ, B.3 アプリケーション・ロール,定義, B.3 アプリケーション・ロール

利点, 2.4.2.1

作成, 2.4.2.1

デフォルト, 2.4.1, 2.4.2.2, 2.4.2.3

例, 1.4.1, 2.2

権限のマッピング方法, 2.6.3

継承, D.3

Oracle Business Intelligenceの実行に必要な最小限, B.4.1.2, B.4.1.2

権限, D.1.3

ユーザー・メンバーシップ, 2.6.1

デフォルトの使用, 2.1

アプリケーション・ロールのページ, 2.4.1, 2.4.1 認証ロール, A.2.1, B.4.1.2 認証

LDAP, 1.3

認証エラー, 3.5.1, 3.6, 3.8 認証オプション

認証, 概要, A.1

認証, 順序, A.1.4

外部表認証, 概要, A.1.2

外部表認証, 設定, A.1.2

LDAP認証, 概要, A.1.1, A.1.1

LDAP認証, 設定, A.1.1.2

ROLESセッション・システム変数, データベース認可のために定義, A.2.3

「セキュリティ」を参照

USERセッション・システム変数, LDAP認証のために定義, A.1.1.2

認証プロバイダ

概要, B.3

Active Directoryの構成, 3.4.2

Oracle Internet Directoryの構成, 3.4.1, 3.4.1

認証プロバイダ

1つ以上の代替の構成, 3

認証プロバイダ

概要, A.1.5

カスタム認証, 概要, A.1.5

定義, A.1.5

認可, 初期化ブロックの使用, A.2.3

B

ベスト・プラクティス

アプリケーション・ロールの作成, 2.4.2.1

HTTPリスナーとHTTPSリスナー, 5.3.3

プレゼンテーション・サービスの権限の管理, 2.6.1

グループのマッピング, 2.4.4.2

ポリシー・ストア, 2.4

SSL証明書, 5.3.4.2, 5.3.4.2

SSO認証, 4

GUID属性値の更新, 3.6

ユーザーGUIDの更新, 3.5.1, 3.8

BIプレゼンテーション・サーバー

権限, 2.6.1

BI Publisher

データ・ソース・アクセスの権限、管理, 2.7

BIサーバー

SSOでのロール, 4.2.2

BIAdministratorロール, B.4.1.2 BIAdministrator

例, 1.4.1

BIAuthorロール, B.4.1.2 BIAuthor

例, 1.4.1

BIConsumerロール, B.4.1.2 BIConsumer

グループの例, 1.4.1

BIDomain MBean, 5.3.4.1 bifoundation_domain, 2.4.1, 2.8, 3.4.5, 3.5.1, 3.6, B.2 BISystemロール, B.4.1.2 BISystemUser

構成, 3.7

システム・ユーザーを変更する場合に構成が必要、信頼できるユーザー, 3.7

C

キャッシュ

クリア, D.2.4

大/小文字の区別,キー, B.4.3.1 カタログ・グループ, D.2.2, D.2.2

既存のグループへの追加, D.2.2.3

作成, D.2.2.1

継承, D.3

優先, B.4.4.2

対応するアプリケーション・ロールとの置換え、削除前, 2.6.3

アップグレードされたシステム, 2.6.1

注意

BISystemアプリケーション・ロール, 2.4.4.2

SSL前提条件, 5.3.4

注意, system-jazn-data.xmlファイル, 2.4 証明書鍵

作成, 5.2.2

動作要件情報, はじめに 変更, 2.4.4

アプリケーション・ロール, 2.4.4

構成

SSL用のWebサーバー, 5.3.3

制御フラグ設定, 3.4.6 権限付与の制御, 2.4.2.2 コピー

アプリケーション・ポリシー, 2.4.3

コピーする

アプリケーション・ポリシー, 2.4.3

アプリケーション・ロール, 2.4.2.2, 2.4.2.2

coreapplication, 2.4.1, 2.4.1, 3.4.7.1, 3.4.7.1 作成

アプリケーション・ポリシー, 2.4.3

コピーによるアプリケーション・ロール, 2.4.3

「アプリケーション権限の類似作成」ダイアログ, 2.4.3 コピーによるアプリケーション・ロールの作成, 2.4.2.2 「アプリケーション・ロールの類似作成」ページ, 2.4.2.2 「アプリケーション・ロールの作成」ページ, 2.4.2.2 「類似作成」ボタン, 2.4.3 作成

アプリケーション・ポリシー, 2.4.3

アプリケーション・ロール, 2.4.2.2, 2.4.2.2, 2.4.2.3

アプリケーション・ロール, 2.4.2.1

SSL用の証明書鍵, 5.2.2

資格証明マップ

oracle.bi.enterprise, 5.2.3

信頼できるユーザー, 3.7

資格証明ストア

移行, 3.9

資格証明ストア・プロバイダ

説明, 1.9

LDAPベースの構成, 3.9

カスタムSSO環境

構成, 4.5

cwallet.ssoファイル, B.4

D

ダッシュボード

保存済カスタマイズ, D.5

データ・ソース・アクセスの権限

BI Publisherの使用による管理, 2.7

データベース,サポート対象, Preface デフォルト

アプリケーション・ロール, 2.4.1, 2.4.2.2, 2.4.2.3

ポリシー・ストアの場所, 2.4

ポリシー・ストア, 3.9

プレゼンテーション・サービスの権限, 2.6.2

デフォルトのディレクトリ・サーバー

パスワードの変更, 2.3.5

ユーザーの作成, 2.3.2

デフォルトのセキュリティ構成

デフォルトのセキュリティ・プロバイダ構成, B.4

実装, B.4

デフォルトのセキュリティ・プロバイダ, B.4 デフォルトのユーザー、グループ、アプリケーション・ロール, 2.1 デフォルトのユーザー、グループ、アプリケーション・ロール

図, 2.1

デフォルト,資格証明, B.4.3.1 DefaultAuthenticator, B.4 デフォルトのディレクトリ・サーバー

グループの作成, 2.3.3

削除

カタログ・グループ, D.2.2.2

カタログ・グループ、対応するアプリケーション・ロールとの置換え後, 2.6.3

ドメイン

概要, B.2.2

Oracle WebLogic Serverとの関係, B.2

ダウンロード

Oracle BI Add-in for Microsoft Office, D.2.3.3.2

動的にロード可能な認証システム・フレームワーク

定義, A.1.5

E

他のユーザーの代理実行の有効化, D.6

プレゼンテーション・サービスのカタログ・グループEveryone, A.2.1

例

「グループの追加」ダイアログ, 2.4.4.2

「アプリケーション・ロール」ページ, 2.4.4.2

BIAdministrators, 1.4.1

BIAuthorsグループ, 1.4.1

BIConsumersグループ, 1.4.1

デモSSL証明書の構成, 5.3.3

「アプリケーション・ロールの編集」ページ, 2.4.4.2

トラスト・ストアが不正確な場合のエラー・メッセージ, 5.3.3

アプリケーション・ロールの新規作成, 2.4.3

コピーによるアプリケーション・ロールの新規作成, 2.4.2.2

SSLレポート出力, 5.3.4.6

ユーザー、グループ、アプリケーション・ロールの例, 1.4.1, 2.2 外部表認証

概要, A.1.2

設定, A.1.2

F

Fusion Middleware Control

アクセス, 1.6.2

システムMBeanブラウザ, 5.3.4

G

権限受領者, 2.4.3

グループ

作成, 2.3.3

定義, 1.9

継承, 2.6.1

グループ

既存への追加, D.2.2.3

カタログ・グループ, D.2.2

例, 1.4.1, 2.2

アプリケーション・ロールへのマッピング方法, 2.4.2.3

デフォルトの使用, 2.1

グループ, 使用

「認証オプション」も参照

GUID属性値

認証エラー, 3.6

更新, 3.6

GUID

認証エラー, 3.5.1, 3.8

ユーザーの更新, 3.5.1, 3.8

H

組込みWLS LDAPアイデンティティ・ストアの高可用性

virtualize属性値の構成, 2.8

セキュリティの設定方法

詳細な手順, 1.7

I

IDアサーション・プロバイダ, 4.2.1, 4.4.2

Identity Manager, 2.5.1

使用の概要, 2.5.1

アイデンティティ・ストア

説明, 1.9

新しい認証プロバイダ, 4.4.1

初期化ブロック, 認可を設定するために使用, A.2.3 インストールされたユーザー、グループ、アプリケーション・ロール

図, 2.1

J

Javaセキュリティ・モデル, B.2

javax.net.sll.trustStorePassword, 5.3.3

javax.net.ssl.trustStore, 5.3.3

ジョブ・マネージャ

構成, 5.4.2

K

キー,大/小文字の区別, B.4.3.1

L

起動

管理コンソール, 1.6.1

LDAP

「Lightweight Directory Access Protocol (LDAP)」を参照

LDAP資格証明ストア, 3.9 Lightweight Directory Access Protocol (LDAP)

認証, 概要, A.1.1, A.1.1

認証, 設定, A.1.1.2

USERセッション・システム変数, LDAP認証のために定義, A.1.1.2, A.2.3

セキュリティの用語のリスト, 1.9

M

管理

アプリケーション・ロール, 2.4.4

プレゼンテーション・サービスの権限, 2.6.1

マッピング,定義, B.3 メンバー

アプリケーション・ロールでの変更, 2.4.4.2

メモリー要件, はじめに メタデータ・リポジトリ

セキュリティ管理の概要, 2.5.1

移行

ユーザーおよびグループの、デフォルトの組込みWLS LDAPから代替認証プロバイダへ, 2

移行

資格証明ストア, 3.9

ポリシー・ストア, 3.9

最小ディスク領域, Preface 変更

アプリケーション・ロール, 2.4.4

複数の認証プロバイダ

virtualizeカスタム・プロパティの構成, 3.4.5

複数の認証プロバイダ

SSL用に構成, 5.4.6

SSL相互認証, 5.2.1

N

新規

アプリケーション・ポリシー, 2.4.3

O

obiストライプ, 2.4.3

事前選択済, 1.6.2, 2.4.1

事前選択済のobiストライプ, 2.4.1 ODBC DSN, 5.4.5 OES Basic

OPSSの置換え, 3.9, B.2.1

オフライン・リポジトリ開発, 2.4.2.1 オペレーティング・システム, サポート対象, はじめに OPSS

OES Basicによる置換え, 3.9, B.2.1

OPTIONALフラグ, 3.4.6 Oracle BI

ジョブ・マネージャの構成, 5.4.2

Oracle BI管理ツール

使用の概要, 2.5.1

ツール, 1.6.3

Oracle BIプレゼンテーション・サーバー

SSOでのロール, 4.2.2

Oracle Business Intelligence

新機能, はじめに

Oracle Entitlements Server Basic (OES Basic), 3.9 Oracle Fusion Middleware Control

ツール, 1.6.2

Oracle Fusion Middlewareセキュリティ・モデル

概要, B.2

Oracle Identity Store (OID)

説明, 1.3

Oracle Internet Directory

認証プロバイダとして構成, 3.4.1, 3.4.1

Oracle Platform Security Services (OPSS), B.2.1 Oracle WebLogic Server

新しいアサーション・プロバイダの構成, 4.4.2

新しい認証プロバイダの構成, 4.4.1

SSL用に構成, 5.3.3

新しい認証プロバイダの構成, 4.4.1

セキュリティのデプロイ, 2

ドメイン, B.2

Oracle WebLogic Server管理コンソール

サマリー, 1.6.1

oracle.bi.enterprise資格証明マップ, 5.2.3 概要

設定手順, 1.7

P

パスワード

ユーザーの変更, 2.3.5

権限付与

アプリケーション・ポリシーでの変更, 2.4.4.1

権限, 2.4.3

追加, 2.4.3

継承, D.3

継承のルール, D.3.1

Oracle Business Intelligence以外, 2.4.3

保存済カスタマイズ, D.5.2.2

ユーザー, D.1.3

アプリケーション・ロールのプレースホルダ, 2.4.2.1 プラットフォーム, サポート対象, はじめに ポリシー・ストア

概要, 3.9

デフォルト, 3.9

管理, 2.4

移行, 3.9

ポリシー・ストア・プロバイダ

説明, 1.9

優先順位

カタログ・グループ, B.4.4.2

プレゼンテーション・サービスの権限, 2.6.2

プレゼンテーション・サービス

管理ページ, D.2.1

カタログ・グループ, D.2.2

セッションの管理, D.2.4

セキュリティ, D.1

プレゼンテーション・サービスの権限

概要, 2.6.2

プレゼンテーション・サービスおよびOracle BIプレゼンテーション・カタログの権限, B 権限

デフォルトの割当て, D.2.3.3

定義済, D.2.3.1

継承, D.3

継承のルール, D.3.1

管理, D.2.3

プレゼンテーション・サービスの管理, 2.6.1

保存済カスタマイズ, D.5.2.1

設定, D.2.3.2

ユーザー, D.1.3

「プロバイダ固有」タブ, 3.4.1, 3.4.2, 4.4.1 プロキシ

偽装されたユーザーは委任されたユーザーをAnalyticsで表示可能, D.6.2

ユーザーのプロキシ・レベル, D.6.2 公開鍵と秘密鍵, 5.2.1

R

リポジトリ

新規ユーザー, 追加, 2.5.2

REQUIREDフラグ, 3.4.6 要件, システム, Preface REQUISITEフラグ, 3.4.6 デフォルトのRPDファイルに対するパスワードのリセット, 1.7 セキュリティ設定へのロードマップ, 1.1 ロール

認証済, B.4.1.2

BIAdministrator, B.4.1.2

BIAuthor, B.4.1.2

BIConsumer, B.4.1.2

BISystem, B.4.1.2

RPD

パスワードのリセット, 1.7

SSOでのRSSフィード, 認証

トラブルシューティング, C.7

S

SampleAppコード, A.1.5

SASchInvoke, 5.4.1

保存済カスタマイズ, D.5

管理, D.5.2

フォルダ構造, D.5.2.2.3

パーミッション, D.5.2.2

権限, D.5.2.1

セキュリティ

カタログ・グループ, D.2.2

構成ツールのサマリー, 1.6, 1.6

詳細な設定手順, 1.7

目標, D.1.2

概要, 1.7

プレゼンテーション・サービス, D.1

リポジトリ, 新規ユーザーの追加, 2.5.2

「認証オプション」も参照

設定の場所, D.1.1

用語, 1.9

セキュリティ・フレームワーク

概要, B.2

Oracle Platform Security Services (OPSS), B.2.1

「セキュリティ」メニュー

アクセス, 2.4.1, 2.4.1, 2.8, 3.4.5, 3.4.7.1, 3.4.7.1, 3.5.1, 3.6

セキュリティ・メニュー, 2.4.1 セキュリティ・プロバイダ

説明, 1.9

セキュリティ・レルム

説明, 1.9

セキュリティ設定ロードマップ, 1.1 セッション・マネージャ

「問合せ環境」も参照, 管理

アクティブな問合せ, 強制終了, A.1.7.1

セッションからのユーザーの切断, A.1.7.1

セッション・ウィンドウのフィールド(表), A.1.7.1

セッション, 表示, A.1.7.1

更新速度, 制御, A.1.7.1

使用, 概要, A.1.7.1

セッション変数

プロキシ機能, D.6.3.2

セッション

管理, D.2.4

SiteMinder

SSO構成, 4.5

SMTPサーバー, SSL用に構成, 5.3.2 SSL

概要, 5.2

管理ツール, 5.4.4

カタログ・マネージャ, 5.4.3

証明書ファイル, 5.3.4.4

証明書鍵, 5.2.2

暗号スイートのオプション, 5.5

構成のコミット, 5.3.4.3

複数の認証プロバイダの構成, 5.4.6

SMTPサーバーの構成, 5.3.2

Webサーバーの構成, 5.3.3

MBeanブラウザを使用してのステータスの確認, 5.3.4.6

Fusion Middleware Controlでレポートを使用してのステータスの確認, 5.3.1

oracle.bi.enterpriseマップ内の資格証明, 5.3.4.4

デフォルトのセキュリティ・レベル, 5.2.1

Oracle Business Intelligence用の構成の有効化, 5.3.4.5

期限切れの証明書, 5.3.4.7

証明書の生成, 5.3.4.2

Oracle Business Intelligence, 5.2.1

構成のロック, 5.3.4.1

手動構成, 5.2.1

相互認証, 5.2.1

関係するOracle BIコンポーネント, 5.2.1

前提条件, 5.3.3

MBeanブラウザを使用してのステータス・レポートの実行, 5.3.4.6

レポートの出力例, 5.3.4.6

トラブルシューティングのヒント, 5.3.4.3.1

システムMBeanブラウザの使用, 5.3.4

証明書の検証, 5.3.4.4

Fusion Middleware Controlを使用してのOracle BIコンポーネント間のSSL構成, 5.3.1 SSL資格証明の保管場所, 5.2.3 SSL Everywhereによる一元的な構成, 5.2.1 SSL, アップグレード, B.6.1 SSL, トラブルシューティング, 5.3.4.6 SSO

概要, 4.2

新しい認証プロバイダの構成, 4.4.1

カスタム環境の構成, 4.5

Active DirectoryとWindowsネイティブ認証での構成, 4.5

Oracle Access Managerを使用した構成, 4.4

SiteMinderでの構成, 4.5

考慮事項, 4.3

Oracle Business Intelligenceで有効化, 4.6

IDアサーション・プロバイダ, 4.2.1

Oracle BIプレゼンテーション・サービス, 4.2.2

管理ツールで必要な権限, 4.2

「プロバイダ固有」タブ, 4.4.1

要件, 4.2

Webゲート, 4.2.1

startManagedWebLogic.sh, 5.3.3 SUFFICIENTフラグ, 3.4.6 サポートされるインストール・タイプ, はじめに システム

セッション変数, 概要とLDAP認証, A.1.1

変数, 概要と外部表認証, A.1.2

システム要件, はじめに system-jazn-data.xmlファイル, 2.4, B.4

T

タスク・マップ

SSLの構成, 5.1

Oracle BIコンポーネント間でのSSLの構成, 5.3.4

SSO認証の構成, 4.1

用語, 1.9 ツール

Oracle BIプレゼンテーション・サービスの「管理」ページ, 1.6.4

Oracle BI管理ツール, 1.6.3

Oracle Fusion Middleware Control, 1.6.2

Oracle WebLogic Server, 2

Oracle WebLogic Server管理コンソール, 1.6.1

セキュリティの構成ツールのサマリー, 1.6, 1.6

SSOを使用したRSSフィードの認証のトラブルシューティング, C.7 SSOのトラブルシューティング

Windowsネイティブ認証やActive Directory、SiteMinderなどのカスタム環境用の構成, C.6

トラブルシューティング, SSL, 5.3.4.6 信頼できるユーザー

BIP JMSモジュール用の変更, 3.7

構成, 3.7

新規ユーザーの作成, 3.7

U

アップグレード,管理者グループ, B.6.1.1

アップグレードされたシステム

カタログ・グループ, 2.6.1

URL

管理コンソール, 1.6.1

Fusion Middleware Control, 1.6.2

使用状況トラッキング, 管理

「セッション・マネージャ」も管理

ユーザー

グループに追加

デフォルト・ディレクトリ・サーバー, グループへのユーザーの追加, 2.3.4

パスワードの変更, 2.3.5 作成, 2.3.2 ユーザー, 定義, 1.9 ユーザー

別人の代理実行の有効化, D.6

例, 1.4.1, 2.2

新規ユーザー, リポジトリに追加, 2.5.2

プロキシ・レベル, D.6.2

デフォルトの使用, 2.1

ユーザーとグループ

デフォルトの組込みWLS LDAPから代替認証プロバイダに移行, 2

V

変数, 使用

システム・セッション変数, 概要とLDAP認証, A.1.1

システム変数, 概要と外部表認証, A.1.2

仮想化機能

SSLでの構成, 5.4.6

virtualize属性値

組込みLDAP WLSアイデンティティ・ストアのHAのための構成, 2.8

virtualizeカスタム・プロパティ

複数の認証プロバイダの構成, 3.4.5

W

Webサーバー, SSL用に構成, 5.3.3

Windowsネイティブ認証

Active Directoryでのssoの構成, 4.5

Copyright © 2010, 2012, Oracle and/or its affiliates. All rights reserved.